- Hjem
- /
- Artikkel
Takk for tilbakemeldingen.
I denne artikkelen
Tilbakemelding?Ny og endret informasjon
Ny og endret informasjon
Denne tabellen dekker nye funksjoner eller funksjonalitet, endringer i eksisterende innhold og eventuelle større feil som ble rettet i Distribusjonsveiledningen for hybrid datasikkerhet for flere leietakere.
|
Dato |
Endringer gjort |
|---|---|
| 25. mars 2026 |
|
|
5. desember 2025 |
|
|
21. november 2025 |
|
|
8. mai 2025 |
|
| 4. mars 2025 |
|
|
30. januar 2025 |
La til SQL Server versjon 2022 i listen over støttede SQL-servere i Krav til databaseserver. |
|
15. januar 2025 |
Lagt til Begrensninger for hybrid datasikkerhet med flere leietakere. |
|
8. januar 2025 |
La til et notat i Utfør første oppsett og last ned installasjonsfiler som sier at det å klikke på Konfigurer på HDS-kortet i Partner Hub er et viktig trinn i installasjonsprosessen. |
|
7. januar 2025 |
Oppdaterte Krav til virtuell vert, Oppgaveflyt for distribusjon av hybrid datasikkerhetog Installer HDS-verten OVA for å vise de nye kravene til ESXi 7.0. |
|
13. desember 2024 |
Først publisert. |
Deaktiver hybrid datasikkerhet for flere leietakere
Oppgaveflyt for deaktivering av HDS for flere leietakere
Følg disse trinnene for å deaktivere HDS med flere leietakere fullstendig.
Før du begynner
| 1 |
Fjern alle kunder fra alle klyngene dine, som nevnt i Fjern leietakerorganisasjoner. |
| 2 |
Tilbakekalle CMK-ene til alle kunder, som nevnt i Tilbakekalle CMK-er for leietakere fjernet fra HDS.. |
| 3 |
Fjern alle noder fra alle klyngene dine, som nevnt i Fjern en node. |
| 4 |
Slett alle klyngene dine fra Partner Hub ved hjelp av én av følgende to metoder.
|
| 5 |
Klikk på fanen Innstillinger på oversiktssiden for hybrid datasikkerhet, og klikk på Deaktiver HDS på HDS-statuskortet. |
Ofte stilte spørsmål
Ofte stilte spørsmål
Q. Lagres CMK-ene og hovednøkkelen i ISO-filen eller i databasen?
EN. Kundens hovednøkler (CMK-er) lagres i databasen og krypteres med hovednøkkelen, som er lagret i ISO-en.
Q. Brukes én nøkkel til å kryptere alle dataene til kundeorganisasjoner?
EN. Nei. Hver kundeorganisasjons data er kryptert med sin egen CMK (kundens hovednøkkel).
Q. Hva skjer hvis jeg deaktiverer HDS fra Partner Hub?
EN. Enkelte operasjoner, som å opprette et lokale og planlegge møter, vil bli påvirket umiddelbart. Eksisterende innhold i rom vil være tilgjengelig inntil den lokale hurtigbufferen utløper. Etter 24 timer vil brukere som administreres av partneren bytte til Cloud KMS, og det kan oppstå problemer med tidligere opprettede områder og én-til-én-områder.
Q. Når CMK-en er generert for en kundeorganisasjon via HDS-oppsettverktøyet, begynner brukerne av kundeorganisasjonen umiddelbart å bruke Multi-Tenant HDS?
EN. Det kan være en maksimal forsinkelse på 24 timer før skybufferen oppdateres.
Q. Hvorfor ser jeg ikke en liste over kunder når jeg klikker på «Legg til kunder»-knappen i Partner Hub?
EN. Dette betyr vanligvis at det ikke finnes noen kundeorganisasjoner som oppfyller Cisco Webex-lisenskravene.
Spørsmål: Hva blir konsekvensen hvis alle HDS-noder stenges ned, eller hvis et nettverksproblem påvirker alle HDS-noder?
EN. Operasjoner som å opprette rom og planlegge møter påvirkes umiddelbart. Eksisterende innhold er bare tilgjengelig inntil den lokale hurtigbufferen utløper.
Q. Er partnerorganisasjonens brukerdata kryptert med hovednøkkelen som ble generert under ISO-opprettelsen?
EN. Ja. For øyeblikket er partnerorganisasjonens brukerdata kryptert med hovednøkkelen. I fremtiden vil partnerorganisasjoner ha partnerspesifikke nøkler, i likhet med kundenes CMK-er.
Spørsmål: Kan partnerorganisasjonen og leietakerorganisasjonene være i forskjellige regioner (for eksempel USA og EU)?
EN. Ja. Partner- og leietakerorganisasjoner kan være lokalisert i forskjellige geografiske regioner.
Spørsmål: Finnes det noen mekanisme for å flytte nøkler tilbake til Cloud KMS?
EN. Det finnes ingen mekanisme for å flytte nøkler tilbake til skyen etter en HDS-distribusjon.
Spørsmål: Kan en partner fortsette å bruke Cloud KMS og utelukkende bruke Multi-Tenant HDS til å administrere kunder?
EN. Nei, dette støttes ikke for øyeblikket. Støtte for denne funksjonaliteten er planlagt for fremtiden.
Spørsmål: Hvordan kan en partner bekrefte at organisasjonen deres bruker Multi-Tenant HDS for kryptering?
EN. Logg inn på Partner Hub. Gå til Tjenester > Hybrid datasikkerhet > Innstillinger . Hvis HDS-status er aktivert, bruker brukere av partnerorganisasjonen samt tildelte kunder HDS med flere leietakere.
Alternativt kan du sjekke sysloggene dine for å bekrefte at HDS er aktivert. Se Test hybrid datasikkerhetsimplementering.
Spørsmål: Finnes det et alternativ til Docker Desktop for å kjøre HDS-oppsettverktøyet?
EN. Ja. Podman Desktop er et åpen kildekode-alternativ til Docker Desktop. Se Kjør HDS-oppsettverktøyet med Podman Desktop.
Q. Hvor mange noder kan jeg distribuere i en HDS-klynge med flere leietakere?
EN. Vi anbefaler minimum to noder og maksimum 1000.
Q. Hva er nettverkskravene som kreves for å sette opp Multi-Tenant HDS?
EN. Se Krav til ekstern tilkobling.
Q. Er Pro Pack for Control Hub et krav for partnerorganisasjoner?
EN. Nei. Pro Pack er ikke et krav for partnerorganisasjoner. Kontakt Cisco-partneren eller kontoansvarlig for å få hjelp med å konfigurere Multi-Tenant HDS.
Spørsmål: Støttes HSM i HDS med flere leietakere?
EN. Nei, for øyeblikket støtter ikke Multi-Tenant HDS HSM.
Q. Kan jeg teste flerbruker-HDS med et selvsignert sertifikat?
EN. Nei. Multi-Tenant HDS krever et sertifikat hentet fra en klarert CA som oppfyller alle kravene nevnt i X.509-sertifikatkrav.
Spørsmål: Er det nødvendig å montere ISO-en hver gang en ny kunde legges til i Partner Hub?
EN. Nei. ISO-en trenger bare å monteres når du endrer ISO-konfigurasjoner. Når du legger til en ny kunde i Partner Hub, må du sørge for at du kan opprette CMK-er ved hjelp av HDS-oppsettverktøyet. Se Opprett kundens hovednøkler (CMK-er) ved hjelp av HDS-oppsettverktøyet.
Q. Etter at Multi-Tenant HDS er distribuert på Partner Hub, begynner brukere av partnerorganisasjonen å bruke lokale KMS for nøkkeladministrasjon?
EN. Brukere vil bare begynne å bruke lokale KMS for nøkkeladministrasjon etter at HDS er aktivert i Partner Hub.
Kom i gang med hybrid datasikkerhet for flere leietakere
Oversikt over hybrid datasikkerhet for flere leietakere
Fra dag én har datasikkerhet vært hovedfokuset i utformingen av Webex-appen. Hjørnesteinen i denne sikkerheten er ende-til-ende-innholdskryptering, aktivert av Webex-appklienter som samhandler med nøkkelhåndteringstjenesten (KMS). KMS-et er ansvarlig for å opprette og administrere kryptografiske nøkler som klienter bruker til å dynamisk kryptere og dekryptere meldinger og filer.
Som standard får alle Webex-appkunder ende-til-ende-kryptering med dynamiske nøkler lagret i sky-KMS, i Ciscos sikkerhetsområde. Hybrid datasikkerhet flytter KMS-systemet og andre sikkerhetsrelaterte funksjoner til bedriftens datasenter, slik at ingen andre enn deg har nøklene til det krypterte innholdet.
Hybrid datasikkerhet for flere leietakere lar organisasjoner utnytte HDS gjennom en pålitelig lokal partner, som kan fungere som en tjenesteleverandør og administrere lokal kryptering og andre sikkerhetstjenester. Dette oppsettet gir partnerorganisasjonen full kontroll over distribusjon og administrasjon av krypteringsnøkler og sikrer at brukerdata fra kundeorganisasjoner er trygge fra ekstern tilgang. Partnerorganisasjoner setter opp HDS-instanser og oppretter HDS-klynger etter behov. Hver instans kan støtte flere kundeorganisasjoner, i motsetning til en vanlig HDS-distribusjon som er begrenset til én enkelt organisasjon.
Dette gjør det også mulig for mindre organisasjoner å utnytte HDS, siden nøkkelhåndteringstjenester og sikkerhetsinfrastruktur som datasentre eies av den pålitelige lokale partneren.
Hvordan hybrid datasikkerhet med flere leietakere gir datasuverenitet og datakontroll
- Brukergenerert innhold er beskyttet mot ekstern tilgang, som fra skytjenesteleverandører.
- Lokale betrodde partnere administrerer krypteringsnøklene til kunder de allerede har et etablert forhold til.
- Mulighet for lokal teknisk støtte, hvis partneren tilbyr dette.
- Støtter møter, meldinger og samtaleinnhold.
Dette dokumentet har som mål å hjelpe partnerorganisasjoner med å sette opp og administrere kunder under et hybrid datasikkerhetssystem for flere leietakere.
Begrensninger ved hybrid datasikkerhet for flere leietakere
- Partnerorganisasjoner må ikke ha noen eksisterende HDS-distribusjon aktiv i Control Hub.
- Leietaker- eller kundeorganisasjoner som ønsker å bli administrert av en partner, må ikke ha noen eksisterende HDS-distribusjon i Control Hub.
- Når Multi-Tenant HDS er distribuert av partneren, begynner alle brukere av kundeorganisasjoner samt brukere av partnerorganisasjonen å bruke Multi-Tenant HDS for sine krypteringstjenester.
Partnerorganisasjonen og kundeorganisasjonene de administrerer vil være på samme Multi-Tenant HDS-distribusjon.
Partnerorganisasjonen vil ikke lenger bruke skybasert KMS etter at Multi-Tenant HDS er distribuert.
- Det finnes ingen mekanisme for å flytte nøkler tilbake til Cloud KMS etter en HDS-distribusjon.
- Administratorroller har visse begrensninger. Se avsnittet nedenfor for detaljer.
Roller i hybrid datasikkerhet med flere leietakere
- Fullstendig partneradministrator – Kan administrere innstillinger for alle kunder som partneren administrerer. Kan også tilordne administratorroller til eksisterende brukere i organisasjonen og tilordne bestemte kunder som skal administreres av partneradministratorer.
- Partneradministrator – Kan administrere innstillinger for kunder som administratoren har klargjort eller som er tilordnet brukeren.
- Full administrator – Administrator for partnerorganisasjonen som er autorisert til å utføre oppgaver som å endre organisasjonsinnstillinger, administrere lisenser og tildele roller.
- Oppsett og administrasjon av komplett HDS for flere leietakere for alle kundeorganisasjoner – Full administratorrettigheter for partnere kreves.
- Administrasjon av tildelte leietakerorganisasjoner - Partneradministrator og fulle administratorrettigheter kreves.
Sikkerhetsrikets arkitektur
Webex-skyarkitekturen skiller ulike typer tjenester inn i separate områder, eller tillitsdomener, som vist nedenfor.
For å forstå hybrid datasikkerhet bedre, la oss først se på dette rene skytilfellet, der Cisco tilbyr alle funksjoner i skyverdenen sin. Identitetstjenesten, det eneste stedet hvor brukere kan bli direkte korrelert med sin personlige informasjon, som for eksempel e-postadresse, er logisk og fysisk atskilt fra sikkerhetsområdet i datasenter B. Begge er igjen atskilt fra området der kryptert innhold til slutt lagres, i datasenter C.
I dette diagrammet er klienten Webex-appen som kjører på en brukers bærbare datamaskin, og som har autentisert seg med identitetstjenesten. Når brukeren skriver en melding som skal sendes til et rom, skjer følgende trinn:
-
Klienten oppretter en sikker forbindelse med nøkkelhåndteringstjenesten (KMS), og ber deretter om en nøkkel for å kryptere meldingen. Den sikre forbindelsen bruker ECDH, og KMS krypterer nøkkelen med en AES-256-hovednøkkel.
-
Meldingen krypteres før den forlater klienten. Klienten sender den til indekseringstjenesten, som oppretter krypterte søkeindekser for å hjelpe til med fremtidige søk etter innholdet.
-
Den krypterte meldingen sendes til samsvarstjenesten for samsvarskontroller.
-
Den krypterte meldingen lagres i lagringsområdet.
Når du distribuerer hybrid datasikkerhet, flytter du sikkerhetsfunksjonene (KMS, indeksering og samsvar) til ditt lokale datasenter. De andre skytjenestene som utgjør Webex (inkludert identitets- og innholdslagring) forblir i Ciscos område.
Samarbeid med andre organisasjoner
Brukere i organisasjonen din kan regelmessig bruke Webex-appen til å samarbeide med eksterne deltakere i andre organisasjoner. Når en av brukerne dine ber om en nøkkel til et område som eies av organisasjonen din (fordi det ble opprettet av en av brukerne dine), sender KMS-systemet ditt nøkkelen til klienten via en ECDH-sikret kanal. Men når en annen organisasjon eier nøkkelen for plassen, ruter KMS-systemet ditt forespørselen ut til Webex-skyen gjennom en separat ECDH-kanal for å hente nøkkelen fra det aktuelle KMS-systemet, og returnerer deretter nøkkelen til brukeren din på den opprinnelige kanalen.
KMS-tjenesten som kjører på organisasjon A validerer tilkoblingene til KMS-er i andre organisasjoner ved hjelp av x.509 PKI-sertifikater. Se Klargjør miljøet ditt for detaljer om hvordan du genererer et x.509-sertifikat som skal brukes med din Multi-Tenant Hybrid Data Security-distribusjon.
Forventninger til implementering av hybrid datasikkerhet
En implementering av hybrid datasikkerhet krever betydelig forpliktelse og en bevissthet om risikoene som følger med å eie krypteringsnøkler.
For å implementere hybrid datasikkerhet må du oppgi:
-
Et sikkert datasenter i et land som er et støttet sted for Cisco Webex Teams-abonnementene.
-
Utstyret, programvaren og nettverkstilgangen som er beskrevet i Klargjør miljøet ditt.
Fullstendig tap av enten konfigurasjons-ISO-en du bygger for Hybrid Data Security eller databasen du oppgir, vil føre til tap av nøklene. Nøkkeltap hindrer brukere i å dekryptere plassinnhold og andre krypterte data i Webex-appen. Hvis dette skjer, kan du bygge en ny distribusjon, men bare nytt innhold vil være synlig. For å unngå tap av tilgang til data, må du:
-
Administrer sikkerhetskopiering og gjenoppretting av databasen og konfigurasjons-ISO-en.
-
Vær forberedt på å utføre rask katastrofegjenoppretting hvis en katastrofe inntreffer, for eksempel feil på databasedisken eller datasenterkatastrofe.
Det finnes ingen mekanisme for å flytte nøkler tilbake til skyen etter en HDS-distribusjon.
Høynivåoppsettprosess
Dette dokumentet dekker oppsett og administrasjon av en hybrid datasikkerhetsdistribusjon med flere leietakere:
-
Konfigurer hybrid datasikkerhet– Dette inkluderer å forberede nødvendig infrastruktur og installere hybrid datasikkerhetsprogramvare, bygge en HDS-klynge, legge til leietakerorganisasjoner i klyngen og administrere kundens hovednøkler (CMK-er). Dette vil gjøre det mulig for alle brukere i kundeorganisasjonene dine å bruke hybriddatasikkerhetsklyngen din til sikkerhetsfunksjoner.
Oppsett-, aktiverings- og administrasjonsfasene dekkes i detalj i de neste tre kapitlene.
-
Vedlikehold din hybride datasikkerhetsdistribusjon– Webex-skyen tilbyr automatisk kontinuerlige oppgraderinger. IT-avdelingen din kan tilby støtte på nivå én for denne utrullingen, og engasjere Cisco-støtte etter behov. Du kan bruke varsler på skjermen og konfigurere e-postbaserte varsler i Partner Hub.
-
Forstå vanlige varsler, feilsøkingstrinn og kjente problemer– Hvis du støter på problemer med å distribuere eller bruke Hybrid Data Security, kan det siste kapittelet i denne veiledningen og tillegget om kjente problemer hjelpe deg med å finne og løse problemet.
Hybrid distribusjonsmodell for datasikkerhet
Innenfor bedriftens datasenter distribuerer du Hybrid Data Security som en enkelt klynge av noder på separate virtuelle verter. Nodene kommuniserer med Webex-skyen via sikre websockets og sikker HTTP.
Under installasjonsprosessen gir vi deg OVA-filen for å konfigurere den virtuelle enheten på de virtuelle maskinene du stiller til rådighet. Du bruker HDS-oppsettverktøyet til å opprette en tilpasset ISO-fil for klyngekonfigurasjon som du monterer på hver node. Hybrid Data Security-klyngen bruker den oppgitte Syslogd-serveren og PostgreSQL- eller Microsoft SQL Server-databasen. (Du konfigurerer Syslogd og databasetilkoblingsdetaljene i HDS-oppsettverktøyet.)
Minimum antall noder du kan ha i en klynge er to. Vi anbefaler minst tre per klynge. Å ha flere noder sikrer at tjenesten ikke avbrytes under en programvareoppgradering eller annen vedlikeholdsaktivitet på en node. (Webex-skyen oppgraderer bare én node om gangen.)
Alle noder i en klynge har tilgang til det samme nøkkeldatalageret og logger aktivitet til den samme syslog-serveren. Selve nodene er statsløse og håndterer viktige forespørsler i runde-robin-modus, som anvist av skyen.
Noder blir aktive når du registrerer dem i Partner Hub. For å ta en individuell node ut av drift, kan du avregistrere den og senere registrere den på nytt om nødvendig.
Standby-datasenter for katastrofegjenoppretting
Under utrullingen setter du opp et sikkert reservedatasenter. I tilfelle en datasenterkatastrofe kan du manuelt overføre utrullingen til reservedatasenteret.
Databasene til de aktive og standby-datasentrene er synkroniserte med hverandre, noe som vil minimere tiden det tar å utføre failover.
De aktive Hybrid Data Security-nodene må alltid være i samme datasenter som den aktive databaseserveren.
Sett opp et reservedatasenter for katastrofegjenoppretting
Følg trinnene nedenfor for å konfigurere ISO-filen til standby-datasenteret:
Før du begynner
-
Standby-datasenteret bør speile produksjonsmiljøet til virtuelle maskiner og en sikkerhetskopi av PostgreSQL- eller Microsoft SQL Server-database. Hvis for eksempel produksjonen har 3 virtuelle maskiner som kjører HDS-noder, bør sikkerhetskopieringsmiljøet ha 3 virtuelle maskiner. (Se Standby-datasenter for katastrofegjenoppretting for en oversikt over denne failover-modellen.)
-
Sørg for at databasesynkronisering er aktivert mellom databasen til aktive og passive klyngenoder.
| 1 |
Start HDS-oppsettverktøyet og følg trinnene som er nevnt i Opprett en konfigurasjons-ISO for HDS-vertene. ISO-filen må være en kopi av den originale ISO-filen til det primære datasenteret som følgende konfigurasjonsoppdateringer skal gjøres på. |
| 2 |
Etter at du har konfigurert Syslogd-serveren, klikker du på Avanserte innstillinger |
| 3 |
På siden Avanserte innstillinger legger du til konfigurasjonen nedenfor for å sette noden i passiv modus. I denne modusen vil noden være registrert i organisasjonen og koblet til skyen, men vil ikke håndtere noen trafikk.
|
| 4 |
Fullfør konfigurasjonsprosessen og lagre ISO-filen på et sted som er lett å finne. |
| 5 |
Lag en sikkerhetskopi av ISO-filen på ditt lokale system. Oppbevar sikkerhetskopien sikkert. Denne filen inneholder en hovedkrypteringsnøkkel for databaseinnholdet. Begrens tilgangen til kun de administratorene for hybrid datasikkerhet som skal gjøre konfigurasjonsendringer. |
| 6 |
I VMware vSphere-klientens venstre navigasjonsrute høyreklikker du på den virtuelle maskinen og klikker på Rediger innstillinger.. |
| 7 |
Klikk på Rediger innstillinger >CD/DVD Stasjon 1 og velg Datastore ISO-fil. Sørg for at Tilkoblet og Koble til ved oppstart er avmerket, slik at oppdaterte konfigurasjonsendringer kan tre i kraft etter at nodene har startet. |
| 8 |
Slå på HDS-noden og sørg for at det ikke er noen alarmer på minst 15 minutter. |
| 9 |
Gjenta prosessen for hver node i standby-datasenteret. Sjekk sysloggene for å bekrefte at nodene er i passiv modus. Du skal kunne se meldingen «KMS konfigurert i passiv modus» i sysloggene. |
Hva du skal gjøre nå
Etter at du har konfigurert passiveMode i ISO-filen og lagret den, kan du opprette en ny kopi av ISO-filen uten passiveMode -konfigurasjonen og lagre den på et sikkert sted. Denne kopien av ISO-filen uten passiveMode konfigurert kan bidra til en rask failover-prosess under katastrofegjenoppretting. Se Katastrofegjenoppretting ved bruk av Standby Data Center for den detaljerte failover-prosedyren.
Proxy-støtte
Hybrid datasikkerhet støtter eksplisitte, transparente inspiserende og ikke-inspiserende proxyer. Du kan knytte disse proxy-tjenerne til distribusjonen din, slik at du kan sikre og overvåke trafikk fra bedriften og ut til skyen. Du kan bruke et plattformadministratorgrensesnitt på nodene for sertifikatadministrasjon og for å sjekke den generelle tilkoblingsstatusen etter at du har konfigurert proxyen på nodene.
Hybrid Data Security-nodene støtter følgende proxy-alternativer:
-
Ingen proxy– Standardinnstillingen hvis du ikke bruker HDS-nodeoppsettet Trust Store & Proxy-konfigurasjon for å integrere en proxy. Ingen sertifikatoppdatering er nødvendig.
-
Transparent ikke-inspiserende proxy– Nodene er ikke konfigurert til å bruke en spesifikk proxy-serveradresse og skal ikke kreve noen endringer for å fungere med en ikke-inspiserende proxy. Ingen sertifikatoppdatering er nødvendig.
-
Transparent tunnelering eller inspeksjon av proxy– Nodene er ikke konfigurert til å bruke en spesifikk proxy-serveradresse. Ingen endringer i HTTP- eller HTTPS-konfigurasjonen er nødvendige på nodene. Nodene trenger imidlertid et rotsertifikat slik at de stoler på proxyen. Inspeksjon av proxyer brukes vanligvis av IT for å håndheve retningslinjer for hvilke nettsteder som kan besøkes og hvilke typer innhold som ikke er tillatt. Denne typen proxy dekrypterer all trafikken din (til og med HTTPS).
-
Eksplisitt proxy– Med eksplisitt proxy forteller du HDS-nodene hvilken proxy-server og autentiseringsskjema de skal bruke. For å konfigurere en eksplisitt proxy, må du angi følgende informasjon på hver node:
-
Proxy IP/FQDN– Adresse som kan brukes til å nå proxy-maskinen.
-
Proxy-port– Et portnummer som proxyen bruker til å lytte etter proxy-trafikk.
-
Proxy-protokoll– Avhengig av hva proxy-serveren din støtter, kan du velge mellom følgende protokoller:
-
HTTP – Viser og kontrollerer alle forespørsler som klienten sender.
-
HTTPS – Gir en kanal til serveren. Klienten mottar og validerer serverens sertifikat.
-
-
Autentiseringstype– Velg blant følgende autentiseringstyper:
-
Ingen– Ingen ytterligere autentisering er nødvendig.
Tilgjengelig hvis du velger enten HTTP eller HTTPS som proxy-protokoll.
-
Grunnleggende– Brukes av en HTTP-brukeragent for å oppgi brukernavn og passord når en forespørsel sendes. Bruker Base64-koding.
Tilgjengelig hvis du velger enten HTTP eller HTTPS som proxy-protokoll.
Krever at du oppgir brukernavn og passord på hver node.
-
Sammendrag– Brukes til å bekrefte kontoen før sensitiv informasjon sendes. Bruker en hash-funksjon på brukernavnet og passordet før sending over nettverket.
Bare tilgjengelig hvis du velger HTTPS som proxy-protokoll.
Krever at du oppgir brukernavn og passord på hver node.
-
-
Eksempel på hybride datasikkerhetsnoder og proxy
Dette diagrammet viser et eksempel på en tilkobling mellom Hybrid Data Security, nettverket og en proxy. For proxy-alternativene for transparent inspeksjon og HTTPS-eksplisitt inspeksjon må det samme rotsertifikatet installeres på proxyen og på Hybrid Data Security-nodene.
Blokkert ekstern DNS-oppløsningsmodus (eksplisitte proxy-konfigurasjoner)
Når du registrerer en node eller sjekker nodens proxy-konfigurasjon, tester prosessen DNS-oppslag og tilkobling til Cisco Webex-skyen. I distribusjoner med eksplisitte proxy-konfigurasjoner som ikke tillater ekstern DNS-løsning for interne klienter, går noden automatisk inn i modus for blokkert ekstern DNS-løsning hvis den ikke kan spørre DNS-serverne. I denne modusen kan noderegistrering og andre proxy-tilkoblingstester fortsette.
Forbered miljøet ditt
Krav til hybrid datasikkerhet for flere leietakere
Krav til Cisco Webex-lisens
Slik distribuerer du hybrid datasikkerhet for flere leietakere:
-
Partnerorganisasjoner: Kontakt Cisco-partneren eller kontoansvarlig din, og sørg for at flerleietakerfunksjonen er aktivert.
-
Leietakerorganisasjoner: Du må ha Pro Pack for Cisco Webex Control Hub. (Se https://www.cisco.com/go/pro-pack.)
Krav til Docker-skrivebordet
Før du installerer HDS-nodene dine, trenger du Docker Desktop for å kjøre et installasjonsprogram. Docker har nylig oppdatert lisensmodellen sin. Organisasjonen din kan kreve et betalt abonnement for Docker Desktop. For mer informasjon, se Docker-blogginnlegget « Docker oppdaterer og utvider produktabonnementene våre».
Kunder uten Docker Desktop-lisens kan bruke et åpen kildekode-verktøy for containeradministrasjon som Podman Desktop til å kjøre, administrere og opprette containere. Se Kjør HDS-oppsettverktøyet med Podman Desktop for detaljer.
Krav til X.509-sertifikat
Sertifikatkjeden må oppfylle følgende krav:
|
Behov |
Detaljer |
|---|---|
|
Som standard stoler vi på CA-ene i Mozilla-listen (med unntak av WoSign og StartCom) på https://wiki.mozilla.org/CA:IncludedCAs. |
|
CN-en trenger ikke å være tilgjengelig eller en live vert. Vi anbefaler at du bruker et navn som gjenspeiler organisasjonen din, for eksempel KN-en må ikke inneholde en * (jokertegn). CN-en brukes til å bekrefte hybriddatasikkerhetsnodene til Webex-appklienter. Alle hybriddatasikkerhetsnodene i klyngen din bruker det samme sertifikatet. KMS-systemet ditt identifiserer seg ved hjelp av CN-domenet, ikke et hvilket som helst domene som er definert i x.509v3 SAN-feltene. Når du har registrert en node med dette sertifikatet, støtter vi ikke endring av CN-domenenavnet. |
|
KMS-programvaren støtter ikke SHA1-signaturer for validering av tilkoblinger til andre organisasjoners KMS-er. |
|
Du kan bruke en konverter som OpenSSL for å endre formatet på sertifikatet ditt. Du må oppgi passordet når du kjører HDS-oppsettverktøyet. |
KMS-programvaren håndhever ikke begrensninger for nøkkelbruk eller utvidede nøkkelbruk. Noen sertifikatmyndigheter krever at utvidede begrensninger for nøkkelbruk legges til grunn for hvert sertifikat, for eksempel serverautentisering. Det er greit å bruke serverautentisering eller andre innstillinger.
Krav til virtuelle verter
De virtuelle vertene du skal sette opp som hybride datasikkerhetsnoder i klyngen din, har følgende krav:
-
Minst to separate verter (3 anbefalt) samlokalisert i samme sikre datasenter
-
VMware ESXi 7.0 eller 8.0 installert og kjører.
Du må oppgradere hvis du har en tidligere versjon av ESXi.
-
Minimum 4 vCPU-er, 8 GB hovedminne, 30 GB lokal harddiskplass per server
Krav til databaseserver
Opprett en ny database for nøkkellagring. Ikke bruk standarddatabasen. HDS-applikasjonene oppretter databaseskjemaet når de er installert.
Det finnes to alternativer for databaseserveren. Kravene for hver av dem er som følger:
|
PostgreSQL |
Microsoft SQL Server |
|---|---|
|
|
|
Minimum 8 vCPU-er, 16 GB hovedminne, tilstrekkelig harddiskplass og overvåking for å sikre at den ikke overskrides (2 TB anbefales hvis du vil kjøre databasen over lengre tid uten å måtte øke lagringsplassen) |
Minimum 8 vCPU-er, 16 GB hovedminne, tilstrekkelig harddiskplass og overvåking for å sikre at den ikke overskrides (2 TB anbefales hvis du vil kjøre databasen over lengre tid uten å måtte øke lagringsplassen) |
HDS-programvaren installerer for øyeblikket følgende driverversjoner for kommunikasjon med databaseserveren:
|
PostgreSQL |
Microsoft SQL Server |
|---|---|
|
Postgres JDBC-driver 42.2.5 |
SQL Server JDBC-driver 4.6 Denne driverversjonen støtter SQL Server Always On ( Always On Failover Cluster Instances og Always On tilgjengelighetsgrupper). |
Ytterligere krav for Windows-autentisering mot Microsoft SQL Server
Hvis du vil at HDS-noder skal bruke Windows-autentisering for å få tilgang til nøkkeldatabasen din på Microsoft SQL Server, trenger du følgende konfigurasjon i miljøet ditt:
-
HDS-nodene, Active Directory-infrastrukturen og MS SQL Server må alle synkroniseres med NTP.
-
Windows-kontoen du oppgir til HDS-noder må ha read/write tilgang til databasen.
-
DNS-serverne du tilbyr HDS-noder må kunne løse nøkkeldistribusjonssenteret ditt (KDC).
-
Du kan registrere HDS-databaseforekomsten på Microsoft SQL Server som et Service Principal Name (SPN) i Active Directory. Se Registrer et tjenestehovednavn for Kerberos-tilkoblinger.
HDS-oppsettverktøyet, HDS-startprogrammet og det lokale KMS-systemet må alle bruke Windows-autentisering for å få tilgang til nøkkellagerdatabasen. De bruker detaljene fra ISO-konfigurasjonen din til å konstruere SPN-en når de ber om tilgang med Kerberos-autentisering.
Krav til eksterne tilkoblinger
Konfigurer brannmuren din til å tillate følgende tilkobling for HDS-applikasjonene:
|
Søknad |
Protokoll |
Havn |
Veibeskrivelse fra appen |
Destinasjon |
|---|---|---|---|---|
|
Hybride datasikkerhetsnoder |
TCP |
443 |
Utgående HTTPS og WSS |
|
|
HDS-oppsettverktøy |
TCP |
443 |
Utgående HTTPS |
|
Hybrid Data Security-nodene fungerer med nettverkstilgangsoversettelse (NAT) eller bak en brannmur, så lenge NAT-en eller brannmuren tillater de nødvendige utgående tilkoblingene til domenedestinasjonene i den foregående tabellen. For tilkoblinger som går inn til Hybrid Data Security-nodene, skal ingen porter være synlige fra Internett. Innenfor datasenteret ditt trenger klienter tilgang til Hybrid Data Security-nodene på TCP-portene 443 og 22 for administrative formål.
URL-ene for CI-vertene (Common Identity) er regionspesifikke. Dette er de nåværende CI-vertene:
|
Region |
Felles identitetsverts-URL-er |
|---|---|
|
Amerika |
|
|
Den europeiske union |
|
|
Canada |
|
| Singapore |
|
| De forente arabiske emirater |
|
Krav til proxy-server
-
Vi støtter offisielt følgende proxy-løsninger som kan integreres med dine hybride datasikkerhetsnoder.
-
Gjennomsiktig proxy – Cisco Web Security Appliance (WSA).
-
Eksplisitt proxy – blekksprut.
Squid-proxyer som inspiserer HTTPS-trafikk kan forstyrre etableringen av websocket (wss:) forbindelser. For å omgå dette problemet, se Konfigurer Squid-proxyer for hybrid datasikkerhet.
-
-
Vi støtter følgende autentiseringstypekombinasjoner for eksplisitte proxyer:
-
Ingen autentisering med HTTP eller HTTPS
-
Grunnleggende autentisering med HTTP eller HTTPS
-
Digest-autentisering kun med HTTPS
-
-
For en transparent inspiserende proxy eller en eksplisitt HTTPS-proxy må du ha en kopi av proxyens rotsertifikat. Distribusjonsinstruksjonene i denne veiledningen forteller deg hvordan du laster opp kopien til Hybrid Data Security-nodenes klareringslagre.
-
Nettverket som er vert for HDS-nodene må konfigureres til å tvinge utgående TCP-trafikk på port 443 til å rutes gjennom proxyen.
-
Proxyer som inspiserer webtrafikk kan forstyrre web socket-tilkoblinger. Hvis dette problemet oppstår, vil det å omgå (ikke inspisere) trafikk til
wbx2.comogciscospark.comløse problemet.
Fullfør forutsetningene for hybrid datasikkerhet
| 1 |
Sørg for at partnerorganisasjonen din har Multi-Tenant HDS-funksjonen aktivert, og hent legitimasjonen til en konto med partnerrettigheter og fulle administratorrettigheter. Sørg for at Webex-kundeorganisasjonen din er aktivert for Pro Pack for Cisco Webex Control Hub. Kontakt din Cisco-partner eller kontoansvarlige for å få hjelp med denne prosessen. Kundeorganisasjoner skal ikke ha noen eksisterende HDS-distribusjon. |
| 2 |
Velg et domenenavn for HDS-distribusjonen din (for eksempel |
| 3 |
Forbered identiske virtuelle verter som du vil konfigurere som hybride datasikkerhetsnoder i klyngen din. Du trenger minst to separate verter (3 anbefales) samlokalisert i samme sikre datasenter, som oppfyller kravene i Krav til virtuelle verter. |
| 4 |
Klargjør databaseserveren som skal fungere som nøkkeldatalager for klyngen, i henhold til Databaseserverkrav. Databaseserveren må være samlokalisert i det sikre datasenteret med de virtuelle vertene. |
| 5 |
For rask gjenoppretting etter katastrofer, sett opp et sikkerhetskopieringsmiljø i et annet datasenter. Sikkerhetskopieringsmiljøet speiler produksjonsmiljøet til virtuelle maskiner og en sikkerhetskopieringsdatabaseserver. Hvis for eksempel produksjonen har 3 virtuelle maskiner som kjører HDS-noder, bør sikkerhetskopieringsmiljøet ha 3 virtuelle maskiner. |
| 6 |
Konfigurer en syslog-vert for å samle inn logger fra nodene i klyngen. Hent nettverksadressen og syslog-porten (standard er UDP 514). |
| 7 |
Opprett en sikker sikkerhetskopieringspolicy for Hybrid Data Security-nodene, databaseserveren og syslog-verten. For å forhindre uopprettelig datatap må du som et minimum sikkerhetskopiere databasen og ISO-konfigurasjonsfilen som er generert for Hybrid Data Security-nodene. Fordi hybride datasikkerhetsnoder lagrer nøklene som brukes i kryptering og dekryptering av innhold, vil manglende opprettholdelse av en operativ distribusjon føre til UOPPRETTBART TAP av innholdet. Webex-appklienter bufrer nøklene sine, så et driftsavbrudd er kanskje ikke umiddelbart merkbart, men vil bli tydelig over tid. Selv om midlertidige avbrudd er umulige å forhindre, kan de gjenopprettes. Fullstendig tap (ingen sikkerhetskopier tilgjengelig) av enten databasen eller konfigurasjons-ISO-filen vil imidlertid føre til uopprettelige kundedata. Operatørene av Hybrid Data Security-nodene forventes å opprettholde hyppige sikkerhetskopier av databasen og ISO-konfigurasjonsfilen, og være forberedt på å gjenoppbygge Hybrid Data Security-datasenteret hvis det oppstår en katastrofal feil. |
| 8 |
Sørg for at brannmurkonfigurasjonen din tillater tilkobling for hybriddatasikkerhetsnodene dine som beskrevet i Krav til ekstern tilkobling. |
| 9 |
Installer Docker ( https://www.docker.com) på en hvilken som helst lokal maskin som kjører et støttet operativsystem (Microsoft Windows 10 Professional eller Enterprise 64-bit, eller Mac OSX Yosemite 10.10.3 eller nyere) med en nettleser som har tilgang til det på http://127.0.0.1:8080. Du bruker Docker-forekomsten til å laste ned og kjøre HDS Setup Tool, som bygger den lokale konfigurasjonsinformasjonen for alle Hybrid Data Security-nodene. Du trenger kanskje en Docker Desktop-lisens. Se Krav til Docker Desktop for mer informasjon. For å installere og kjøre HDS Setup Tool, må den lokale maskinen ha tilkoblingsmulighetene som er beskrevet i Krav til ekstern tilkobling. |
| 10 |
Hvis du integrerer en proxy med Hybrid Data Security, må du sørge for at den oppfyller Krav til proxyserver. |
Konfigurer en hybrid datasikkerhetsklynge
Oppgaveflyt for distribusjon av hybrid datasikkerhet
| 1 |
Utfør første oppsett og last ned installasjonsfiler Last ned OVA-filen til din lokale maskin for senere bruk. |
| 2 |
Opprett en konfigurasjons-ISO for HDS-vertene Bruk HDS-oppsettverktøyet til å opprette en ISO-konfigurasjonsfil for Hybrid Data Security-nodene. |
| 3 |
Opprett en virtuell maskin fra OVA-filen og utfør den første konfigurasjonen, for eksempel nettverksinnstillinger. Alternativet for å konfigurere nettverksinnstillinger under OVA-distribusjon har blitt testet med ESXi 7.0 og 8.0. Alternativet er kanskje ikke tilgjengelig i tidligere versjoner. |
| 4 |
Konfigurer den hybride virtuelle datamaskinen for datasikkerhet Logg på VM-konsollen og angi påloggingslegitimasjonen. Konfigurer nettverksinnstillingene for noden hvis du ikke konfigurerte dem da OVA-distribusjonen ble utført. |
| 5 |
Last opp og monter HDS-konfigurasjons-ISO-en Konfigurer den virtuelle maskinen fra ISO-konfigurasjonsfilen du opprettet med HDS-oppsettverktøyet. |
| 6 |
Konfigurer HDS-noden for proxy-integrasjon Hvis nettverksmiljøet krever proxy-konfigurasjon, angi hvilken type proxy du vil bruke for noden, og legg til proxy-sertifikatet i klareringslageret om nødvendig. |
| 7 |
Registrer den første noden i klyngen Registrer den virtuelle maskinen med Cisco Webex-skyen som en hybrid datasikkerhetsnode. |
| 8 |
Opprett og registrer flere noder Fullfør klyngeoppsettet. |
| 9 |
Aktiver HDS for flere leietakere på partnerhub. Aktiver HDS og administrer leietakerorganisasjoner på Partner Hub. |
Utfør første oppsett og last ned installasjonsfiler
I denne oppgaven laster du ned en OVA-fil til maskinen din (ikke til serverne du har satt opp som hybride datasikkerhetsnoder). Du bruker denne filen senere i installasjonsprosessen.
| 1 |
Logg på Partner Hub, og klikk deretter på Tjenester. |
| 2 |
I Hybrid-delen finner du kortet for hybrid datasikkerhet, og deretter klikker du på Konfigurer. Det er avgjørende for distribusjonsprosessen å klikke på Konfigurer i Partner Hub. Ikke fortsett med installasjonen uten å fullføre dette trinnet. |
| 3 |
Klikk på Legg til en ressurs og klikk på Last ned .OVA-fil på kortet Installer og konfigurer programvare. Eldre versjoner av programvarepakken (OVA) vil ikke være kompatible med de nyeste oppgraderingene for hybrid datasikkerhet. Dette kan føre til problemer under oppgradering av applikasjonen. Sørg for at du laster ned den nyeste versjonen av OVA-filen. Du kan også laste ned OVA når som helst fra Hjelp -delen. Klikk på . Nedlastingen av OVA-filen begynner automatisk. Lagre filen på en plassering på maskinen din.
|
Opprett en konfigurasjons-ISO for HDS-vertene
Konfigurasjonsprosessen for hybrid datasikkerhet oppretter en ISO-fil. Deretter bruker du ISO-filen til å konfigurere Hybrid Data Security-verten din.
Før du begynner
-
HDS-oppsettverktøyet kjører som en Docker-container på en lokal maskin. For å få tilgang til den, kjør Docker på den maskinen. Oppsettprosessen krever påloggingsinformasjonen til en Partner Hub-konto med fulle administratorrettigheter.
Hvis du ikke har en Docker Desktop-lisens, kan du bruke Podman Desktop til å kjøre HDS-oppsettverktøyet for trinn 1 til 5 i prosedyren nedenfor. Se Kjør HDS-oppsettverktøyet med Podman Desktop for detaljer.
Hvis HDS-oppsettverktøyet kjører bak en proxy i miljøet ditt, må du oppgi proxy-innstillingene (server, port, legitimasjon) via Docker-miljøvariabler når du åpner Docker-containeren i trinn 5 nedenfor. Denne tabellen viser noen mulige miljøvariabler:
Beskrivelse
Variabel
HTTP-proxy uten autentisering
GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORTHTTPS-proxy uten autentisering
GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORTHTTP-proxy med autentisering
GLOBAL_AGENT_HTTP_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORTHTTPS-proxy med autentisering
GLOBAL_AGENT_HTTPS_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT -
Konfigurasjons-ISO-filen du genererer inneholder hovednøkkelen som krypterer PostgreSQL- eller Microsoft SQL Server-databasen. Du trenger den nyeste kopien av denne filen hver gang du gjør konfigurasjonsendringer, som disse:
-
Databaselegitimasjon
-
Sertifikatoppdateringer
-
Endringer i autorisasjonspolicyen
-
-
Hvis du planlegger å kryptere databasetilkoblinger, må du konfigurere PostgreSQL- eller SQL Server-distribusjonen din for TLS.
| 1 |
Skriv inn riktig kommando for miljøet ditt på maskinens kommandolinje: I vanlige miljøer: I FedRAMP-miljøer: Dette trinnet rydder opp i tidligere bilder av HDS-oppsettverktøyet. Hvis det ikke finnes noen tidligere bilder, returnerer den en feil som du kan ignorere. | ||||||||||
| 2 |
For å logge på Docker-avbildningsregisteret, skriv inn følgende: | ||||||||||
| 3 |
Ved passordledeteksten skriver du inn denne hashen: | ||||||||||
| 4 |
Last ned det nyeste stabile bildet for miljøet ditt: I vanlige miljøer: I FedRAMP-miljøer: | ||||||||||
| 5 |
Når hentingen er fullført, skriver du inn riktig kommando for miljøet ditt:
Når containeren kjører, ser du «Express-server lytter på port 8080». | ||||||||||
| 6 |
Installasjonsverktøyet støtter ikke tilkobling til localhost via http://localhost:8080. Bruk http://127.0.0.1:8080 for å koble til localhost. Bruk en nettleser til å gå til localhost, Verktøyet bruker denne første oppføringen av brukernavnet til å angi riktig miljø for den kontoen. Verktøyet viser deretter standard påloggingsledetekst. | ||||||||||
| 7 |
Når du blir bedt om det, skriver du inn påloggingsinformasjonen for Partner Hub-administratoren, og klikker deretter på Logg inn for å gi tilgang til de nødvendige tjenestene for Hybrid Data Security. | ||||||||||
| 8 |
På oversiktssiden for oppsettverktøyet klikker du på Kom i gang. | ||||||||||
| 9 |
På siden ISO-import har du disse alternativene:
| ||||||||||
| 10 |
Sjekk at X.509-sertifikatet ditt oppfyller kravene i Krav til X.509-sertifikat.
| ||||||||||
| 11 |
Skriv inn databaseadressen og kontoen som HDS bruker for å få tilgang til nøkkeldatalageret ditt: | ||||||||||
| 12 |
Velg en TLS-databasetilkoblingsmodus:
Når du laster opp rotsertifikatet (hvis nødvendig) og klikker på Fortsett, tester HDS-oppsettverktøyet TLS-tilkoblingen til databaseserveren. Verktøyet verifiserer også sertifikatsigneren og vertsnavnet, hvis aktuelt. Hvis en test mislykkes, viser verktøyet en feilmelding som beskriver problemet. Du kan velge om du vil ignorere feilen og fortsette med oppsettet. (På grunn av tilkoblingsforskjeller kan HDS-nodene kanskje opprette TLS-tilkoblingen selv om HDS Setup Tool-maskinen ikke kan teste den.) | ||||||||||
| 13 |
På siden Systemlogger konfigurerer du Syslogd-serveren din: | ||||||||||
| 14 |
(Valgfritt) Du kan endre standardverdien for noen databasetilkoblingsparametere i Avanserte innstillinger. Vanligvis er denne parameteren den eneste du kanskje vil endre: | ||||||||||
| 15 |
Klikk på Fortsett på skjermbildet Tilbakestill passord for tjenestekontoer. Passord for tjenestekontoer har en levetid på ni måneder. Bruk denne skjermen når passordene dine nærmer seg utløpsdatoen, eller du vil tilbakestille dem for å ugyldiggjøre tidligere ISO-filer. | ||||||||||
| 16 |
Klikk på Last ned ISO-fil. Lagre filen på et sted som er lett å finne. | ||||||||||
| 17 |
Lag en sikkerhetskopi av ISO-filen på ditt lokale system. Oppbevar sikkerhetskopien sikkert. Denne filen inneholder en hovedkrypteringsnøkkel for databaseinnholdet. Begrens tilgangen til kun de administratorene for hybrid datasikkerhet som skal gjøre konfigurasjonsendringer. | ||||||||||
| 18 |
For å avslutte installasjonsverktøyet, skriv |
Hva du skal gjøre nå
Sikkerhetskopier konfigurasjons-ISO-filen. Du trenger det for å opprette flere noder for gjenoppretting, eller for å gjøre konfigurasjonsendringer. Hvis du mister alle kopiene av ISO-filen, har du også mistet hovednøkkelen. Det er ikke mulig å gjenopprette nøklene fra PostgreSQL- eller Microsoft SQL Server-databasen.
Vi har aldri en kopi av denne nøkkelen, og kan ikke hjelpe deg hvis du mister den.
Installer HDS Host OVA
| 1 |
Bruk VMware vSphere-klienten på datamaskinen din for å logge på den virtuelle ESXi-verten. |
| 2 |
Velg Fil > Distribuer OVF-mal. |
| 3 |
I veiviseren angir du plasseringen til OVA-filen du lastet ned tidligere, og klikker deretter på Neste. |
| 4 |
På siden Velg et navn og en mappe skriver du inn et navn på en virtuell maskin for noden (for eksempel "HDS_Node_1"), velger en plassering der distribusjonen av den virtuelle maskinnoden kan befinne seg, og klikker deretter på Neste. |
| 5 |
På siden Velg en beregningsressurs velger du målberegningsressursen og klikker deretter på Neste. En valideringskontroll kjøres. Når det er ferdig, vises maldetaljene. |
| 6 |
Bekreft maldetaljene og klikk deretter på Neste. |
| 7 |
Hvis du blir bedt om å velge ressurskonfigurasjon på siden Konfigurasjon, klikker du på 4 CPU og deretter på Neste. |
| 8 |
På siden Velg lagring klikker du på Neste for å godta standard diskformat og lagringspolicy for virtuell maskin. |
| 9 |
På siden Velg nettverk velger du nettverksalternativet fra listen over oppføringer for å gi ønsket tilkobling til den virtuelle maskinen. |
| 10 |
På siden Tilpass mal konfigurerer du følgende nettverksinnstillinger:
Hvis du foretrekker det, kan du hoppe over konfigurasjonen av nettverksinnstillingene og følge trinnene i Konfigurer den virtuelle hybriddatasikkerhetsmaskinen for å konfigurere innstillingene fra nodekonsollen. Alternativet for å konfigurere nettverksinnstillinger under OVA-distribusjon har blitt testet med ESXi 7.0 og 8.0. Alternativet er kanskje ikke tilgjengelig i tidligere versjoner. |
| 11 |
Høyreklikk på nodens virtuelle maskin, og velg deretter . Hybrid Data Security-programvaren installeres som gjest på VM-verten. Du er nå klar til å logge på konsollen og konfigurere noden. Feilsøkingstips Du kan oppleve en forsinkelse på noen få minutter før nodecontainerne dukker opp. En melding om en brobrannmur vises på konsollen under første oppstart, og du kan ikke logge på i løpet av denne tiden. |
Konfigurer den hybride virtuelle datamaskinen for datasikkerhet
Bruk denne prosedyren for å logge på Hybrid Data Security-nodens virtuelle konsoll for første gang og angi påloggingslegitimasjonen. Du kan også bruke konsollen til å konfigurere nettverksinnstillingene for noden hvis du ikke konfigurerte dem da OVA-distribusjonen ble utført.
| 1 |
I VMware vSphere-klienten velger du den virtuelle maskinen for hybrid datasikkerhetsnoden og velger fanen Konsoll. VM-en starter opp, og en påloggingsledetekst vises. Hvis påloggingsledeteksten ikke vises, trykk Enter.
|
| 2 |
Bruk følgende standardbrukernavn og passord for å logge på og endre påloggingsinformasjonen: Siden du logger på den virtuelle maskinen for første gang, må du endre administratorpassordet. |
| 3 |
Hvis du allerede har konfigurert nettverksinnstillingene i Installer HDS Host OVA, hopper du over resten av denne prosedyren. Ellers velger du alternativet Rediger konfigurasjon i hovedmenyen. |
| 4 |
Sett opp en statisk konfigurasjon med IP-adresse, maske, gateway og DNS-informasjon. Noden din skal ha en intern IP-adresse og et DNS-navn. DHCP støttes ikke. |
| 5 |
(Valgfritt) Endre vertsnavn, domene eller NTP-server(e) om nødvendig for å samsvare med nettverkspolicyen din. Du trenger ikke å angi domenet slik at det samsvarer med domenet du brukte for å hente X.509-sertifikatet. |
| 6 |
Lagre nettverkskonfigurasjonen og start den virtuelle maskinen på nytt slik at endringene trer i kraft. |
Last opp og monter HDS-konfigurasjons-ISO-en
Før du begynner
Fordi ISO-filen inneholder hovednøkkelen, bør den bare eksponeres ved behov, for tilgang av de virtuelle hybriddatasikkerhetsmaskinene og eventuelle administratorer som måtte trenge å gjøre endringer. Sørg for at bare disse administratorene har tilgang til datalageret.
| 1 |
Last opp ISO-filen fra datamaskinen din: |
| 2 |
Monter ISO-filen: |
Hva du skal gjøre nå
Hvis IT-policyen din krever det, kan du eventuelt avmontere ISO-filen etter at alle nodene dine har plukket opp konfigurasjonsendringene. Se (Valgfritt) Avmonter ISO etter HDS-konfigurasjon for detaljer.
Konfigurer HDS-noden for proxy-integrasjon
Hvis nettverksmiljøet krever en proxy, bruk denne prosedyren for å angi typen proxy du vil integrere med Hybrid Data Security. Hvis du velger en transparent inspeksjonsproxy eller en eksplisitt HTTPS-proxy, kan du bruke nodens grensesnitt til å laste opp og installere rotsertifikatet. Du kan også sjekke proxy-tilkoblingen fra grensesnittet og feilsøke eventuelle problemer.
Før du begynner
-
Se Proxy-støtte for en oversikt over de støttede proxy-alternativene.
| 1 |
Skriv inn URL-adressen for oppsett av HDS-noden |
| 2 |
Gå til Trust Store & Proxy, og velg deretter et alternativ:
Følg de neste trinnene for en transparent inspeksjonsproxy, en eksplisitt HTTP-proxy med grunnleggende autentisering eller en eksplisitt HTTPS-proxy. |
| 3 |
Klikk på Last opp et rotsertifikat eller et sluttenhetssertifikat, og naviger deretter til og velg rotsertifikatet for proxyen. Sertifikatet er lastet opp, men ikke installert ennå, fordi du må starte noden på nytt for å installere sertifikatet. Klikk på vinkelpilen ved siden av sertifikatutstederens navn for å få mer informasjon, eller klikk på Slett hvis du har gjort en feil og vil laste opp filen på nytt. |
| 4 |
Klikk på Sjekk proxy-tilkobling for å teste nettverkstilkoblingen mellom noden og proxyen. Hvis tilkoblingstesten mislykkes, vil du se en feilmelding som viser årsaken og hvordan du kan løse problemet. Hvis du ser en melding som sier at ekstern DNS-løsning ikke var vellykket, klarte ikke noden å nå DNS-serveren. Denne betingelsen er forventet i mange eksplisitte proxy-konfigurasjoner. Du kan fortsette med oppsettet, og noden vil fungere i modus for blokkert ekstern DNS-løsning. Hvis du tror dette er en feil, fullfør disse trinnene, og se deretter Slå av blokkert ekstern DNS-oppløsningsmodus. |
| 5 |
Etter at tilkoblingstesten er bestått, for eksplisitt proxy satt til kun https, slå veksleknappen på Rut alle porter 443/444 https-forespørsler fra denne noden gjennom den eksplisitte proxyen. Denne innstillingen krever 15 sekunder for å tre i kraft. |
| 6 |
Klikk på Installer alle sertifikater i klareringslageret (vises for en eksplisitt HTTPS-proxy eller en transparent inspiserende proxy) eller Start på nytt (vises for en eksplisitt HTTP-proxy), les ledeteksten, og klikk deretter på Installer hvis du er klar. Noden starter på nytt innen få minutter. |
| 7 |
Etter at noden har startet på nytt, logg inn igjen om nødvendig, og åpne deretter siden Oversikt for å sjekke tilkoblingskontrollene og sørge for at de alle har grønn status. Proxy-tilkoblingskontrollen tester bare et underdomene av webex.com. Hvis det er tilkoblingsproblemer, er et vanlig problem at noen av skydomenene som er oppført i installasjonsinstruksjonene, blokkeres av proxy-tjeneren. |
Registrer den første noden i klyngen
Når du registrerer din første node, oppretter du en klynge som noden er tilordnet. En klynge inneholder én eller flere noder som er distribuert for å gi redundans.
Før du begynner
-
Når du har startet registreringen av en node, må du fullføre den innen 60 minutter, ellers må du starte på nytt.
-
Sørg for at eventuelle popup-blokkeringer i nettleseren din er deaktivert, eller at du tillater et unntak for admin.webex.com.
| 1 |
Logg inn på https://admin.webex.com. |
| 2 |
Fra menyen på venstre side av skjermen velger du Tjenester. |
| 3 |
I Hybrid-delen finner du Hybrid Data Security-kortet og klikker på Konfigurer. |
| 4 |
På siden som åpnes, klikk på Legg til en ressurs. |
| 5 |
I det første feltet på kortet Opprett en ny klynge skriver du inn et navn for klyngen du vil tilordne Hybrid Data Security-noden til. Vi anbefaler at du navngir en klynge basert på hvor nodene i klyngen befinner seg geografisk. Eksempler: «San Francisco» eller «New York» eller «Dallas» |
| 6 |
I det andre feltet skriver du inn den interne IP-adressen eller det fullstendig kvalifiserte domenenavnet (FQDN) til noden din og klikker på Legg til nederst på skjermen. Denne IP-adressen eller FQDN-en skal samsvare med IP-adressen eller vertsnavnet og domenet du brukte i Konfigurer den hybride virtuelle datamaskinen for datasikkerhet. Det vises en melding som angir at du kan registrere noden din i Webex.
|
| 7 |
Klikk på Gå til node. Etter noen få øyeblikk blir du omdirigert til nodetilkoblingstestene for Webex-tjenester. Hvis alle testene er vellykkede, vises siden Tillat tilgang til hybrid datasikkerhetsnode. Der bekrefter du at du vil gi Webex-organisasjonen din tillatelse til å få tilgang til noden din. |
| 8 |
Merk av i boksen Tillat tilgang til hybrid datasikkerhetsnode, og klikk deretter på Fortsett. Kontoen din er validert, og meldingen «Registrering fullført» indikerer at noden din nå er registrert i Webex-skyen.
|
| 9 |
Klikk på lenken eller lukk fanen for å gå tilbake til Partner Hub Hybrid Data Security-siden. På siden Hybrid datasikkerhet vises den nye klyngen som inneholder noden du registrerte, under fanen Ressurser. Noden vil automatisk laste ned den nyeste programvaren fra skyen.
|
Opprett og registrer flere noder
Før du begynner
-
Når du har startet registreringen av en node, må du fullføre den innen 60 minutter, ellers må du starte på nytt.
-
Sørg for at eventuelle popup-blokkeringer i nettleseren din er deaktivert, eller at du tillater et unntak for admin.webex.com.
| 1 |
Opprett en ny virtuell maskin fra OVA-en, og gjenta trinnene i Installer HDS Host OVA. |
| 2 |
Konfigurer den første konfigurasjonen på den nye virtuelle maskinen, og gjenta trinnene i Konfigurer den hybride virtuelle maskinen for datasikkerhet. |
| 3 |
Gjenta trinnene i Last opp og monter HDS-konfigurasjons-ISOpå den nye virtuelle maskinen. |
| 4 |
Hvis du konfigurerer en proxy for distribusjonen din, gjenta trinnene i Konfigurer HDS-noden for proxy-integrasjon etter behov for den nye noden. |
| 5 |
Registrer noden. |
Hva du skal gjøre nå
Administrer leietakerorganisasjoner på hybrid datasikkerhet for flere leietakere
Aktiver flerleietaker-HDS på partnerhub
Denne oppgaven sikrer at alle brukere i kundeorganisasjonene kan begynne å utnytte HDS for lokale krypteringsnøkler og andre sikkerhetstjenester.
Før du begynner
Sørg for at du har fullført oppsettet av HDS-klyngen med flere leietakere med det nødvendige antallet noder.
| 1 |
Logg inn på https://admin.webex.com. |
| 2 |
Fra menyen på venstre side av skjermen velger du Tjenester. |
| 3 |
I Hybrid-delen finner du Hybrid datasikkerhet og klikker på Rediger innstillinger. |
| 4 |
Klikk på Aktiver HDS på kortet HDS-status. |
Legg til leietakerorganisasjoner i Partner Hub
I denne oppgaven tilordner du kundeorganisasjoner til din hybride datasikkerhetsklynge.
| 1 |
Logg inn på https://admin.webex.com. |
| 2 |
Fra menyen på venstre side av skjermen velger du Tjenester. |
| 3 |
I Hybrid-delen finner du Hybrid datasikkerhet og klikker på Vis alle. |
| 4 |
Gå til fanen Tildelte kunder. Fanen Tildelte kunder vises ikke før du oppretter en klynge. |
| 5 |
Klikk på Legg til kunder. |
| 6 |
Velg kunden du vil legge til fra rullegardinmenyen. |
| 7 |
Klikk på Legg til, kunden vil bli lagt til i klyngen. |
| 8 |
Gjenta trinn 5 til 7 for å legge til flere kunder i klyngen din. |
| 9 |
Klikk på Ferdig nederst på skjermen når du har lagt til kundene. Kunder som legges til, vil bli synkronisert på tvers av alle tilgjengelige klynger. |
Hva du skal gjøre nå
Opprett kundens hovednøkler (CMK-er) ved hjelp av HDS-oppsettverktøyet
Før du begynner
Tilordne kunder som beskrevet i Legge til leietakerorganisasjoner i partnerhub. Kjør HDS-oppsettverktøyet for å fullføre oppsettprosessen for de nylig tillagte kundeorganisasjonene.
-
HDS-oppsettverktøyet kjører som en Docker-container på en lokal maskin. For å få tilgang til den, kjør Docker på den maskinen. Konfigurasjonsprosessen krever legitimasjonen til en Partner Hub-konto med fulle administratorrettigheter for organisasjonen din.
Hvis HDS-oppsettverktøyet kjører bak en proxy i miljøet ditt, må du oppgi proxy-innstillingene (server, port, legitimasjon) via Docker-miljøvariabler når du åpner Docker-containeren i trinn 5. Denne tabellen viser noen mulige miljøvariabler:
Beskrivelse
Variabel
HTTP-proxy uten autentisering
GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORTHTTPS-proxy uten autentisering
GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORTHTTP-proxy med autentisering
GLOBAL_AGENT_HTTP_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORTHTTPS-proxy med autentisering
GLOBAL_AGENT_HTTPS_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT -
Konfigurasjons-ISO-filen du genererer inneholder hovednøkkelen som krypterer PostgreSQL- eller Microsoft SQL Server-databasen. Du trenger den nyeste kopien av denne filen hver gang du gjør konfigurasjonsendringer, som disse:
-
Databaselegitimasjon
-
Sertifikatoppdateringer
-
Endringer i autorisasjonspolicyen
-
-
Hvis du planlegger å kryptere databasetilkoblinger, må du konfigurere PostgreSQL- eller SQL Server-distribusjonen din for TLS.
Konfigurasjonsprosessen for hybrid datasikkerhet oppretter en ISO-fil. Deretter bruker du ISO-filen til å konfigurere Hybrid Data Security-verten din.
| 1 |
Skriv inn riktig kommando for miljøet ditt på maskinens kommandolinje: I vanlige miljøer: I FedRAMP-miljøer: Dette trinnet rydder opp i tidligere bilder av HDS-oppsettverktøyet. Hvis det ikke finnes noen tidligere bilder, returnerer den en feil som du kan ignorere. |
| 2 |
For å logge på Docker-avbildningsregisteret, skriv inn følgende: |
| 3 |
Ved passordledeteksten skriver du inn denne hashen: |
| 4 |
Last ned det nyeste stabile bildet for miljøet ditt: I vanlige miljøer: I FedRAMP-miljøer: |
| 5 |
Når hentingen er fullført, skriver du inn riktig kommando for miljøet ditt:
Når containeren kjører, ser du «Express-server lytter på port 8080». |
| 6 |
Installasjonsverktøyet støtter ikke tilkobling til localhost via http://localhost:8080. Bruk http://127.0.0.1:8080 for å koble til localhost. Bruk en nettleser til å gå til localhost, Verktøyet bruker denne første oppføringen av brukernavnet til å angi riktig miljø for den kontoen. Verktøyet viser deretter standard påloggingsledetekst. |
| 7 |
Når du blir bedt om det, skriver du inn påloggingsinformasjonen for Partner Hub-administratoren, og klikker deretter på Logg inn for å gi tilgang til de nødvendige tjenestene for Hybrid Data Security. |
| 8 |
På oversiktssiden for oppsettverktøyet klikker du på Kom i gang. |
| 9 |
På siden ISO-import klikker du på Ja. |
| 10 |
Velg ISO-filen din i nettleseren og last den opp. Sørg for tilkobling til databasen din for å utføre CMK-administrasjon. |
| 11 |
Gå til fanen Leietaker-CMK-administrasjon, der du finner følgende tre måter å administrere Leietaker-CMK-er på.
|
| 12 |
Når CMK-opprettelsen er vellykket, endres statusen i tabellen fra CMK-administrasjon venter til CMK-administrert. |
| 13 |
Hvis opprettelsen av CMK mislykkes, vises en feilmelding. |
Fjern leietakerorganisasjoner
Før du begynner
Når den er fjernet, vil ikke brukere av kundeorganisasjoner kunne bruke HDS til sine krypteringsbehov, og de vil miste alle eksisterende plasser. Før du fjerner kundeorganisasjoner, må du kontakte Cisco-partneren eller kontoansvarlig.
| 1 |
Logg inn på https://admin.webex.com. |
| 2 |
Fra menyen på venstre side av skjermen velger du Tjenester. |
| 3 |
I Hybrid-delen finner du Hybrid datasikkerhet og klikker på Vis alle. |
| 4 |
På siden som åpnes, klikk på fanen Tildelte kunder. |
| 5 |
Fra listen over kundeorganisasjoner som vises, klikk på |
Hva du skal gjøre nå
Fullfør fjerningsprosessen ved å tilbakekalle CMK-ene til kundeorganisasjonene som beskrevet i Tilbakekalle CMK-er for leietakere fjernet fra HDS.
Tilbakekall CMK-er for leietakere som er fjernet fra HDS.
Før du begynner
Fjern kunder som beskrevet i Fjern leietakerorganisasjoner. Kjør HDS-oppsettverktøyet for å fullføre fjerningsprosessen for kundeorganisasjonene som ble fjernet.
-
HDS-oppsettverktøyet kjører som en Docker-container på en lokal maskin. For å få tilgang til den, kjør Docker på den maskinen. Konfigurasjonsprosessen krever legitimasjonen til en Partner Hub-konto med fulle administratorrettigheter for organisasjonen din.
Hvis HDS-oppsettverktøyet kjører bak en proxy i miljøet ditt, må du oppgi proxy-innstillingene (server, port, legitimasjon) via Docker-miljøvariabler når du åpner Docker-containeren i trinn 5. Denne tabellen viser noen mulige miljøvariabler:
Beskrivelse
Variabel
HTTP-proxy uten autentisering
GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORTHTTPS-proxy uten autentisering
GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORTHTTP-proxy med autentisering
GLOBAL_AGENT_HTTP_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORTHTTPS-proxy med autentisering
GLOBAL_AGENT_HTTPS_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT -
Konfigurasjons-ISO-filen du genererer inneholder hovednøkkelen som krypterer PostgreSQL- eller Microsoft SQL Server-databasen. Du trenger den nyeste kopien av denne filen hver gang du gjør konfigurasjonsendringer, som disse:
-
Databaselegitimasjon
-
Sertifikatoppdateringer
-
Endringer i autorisasjonspolicyen
-
-
Hvis du planlegger å kryptere databasetilkoblinger, må du konfigurere PostgreSQL- eller SQL Server-distribusjonen din for TLS.
Konfigurasjonsprosessen for hybrid datasikkerhet oppretter en ISO-fil. Deretter bruker du ISO-filen til å konfigurere Hybrid Data Security-verten din.
| 1 |
Skriv inn riktig kommando for miljøet ditt på maskinens kommandolinje: I vanlige miljøer: I FedRAMP-miljøer: Dette trinnet rydder opp i tidligere bilder av HDS-oppsettverktøyet. Hvis det ikke finnes noen tidligere bilder, returnerer den en feil som du kan ignorere. |
| 2 |
For å logge på Docker-avbildningsregisteret, skriv inn følgende: |
| 3 |
Ved passordledeteksten skriver du inn denne hashen: |
| 4 |
Last ned det nyeste stabile bildet for miljøet ditt: I vanlige miljøer: I FedRAMP-miljøer: |
| 5 |
Når hentingen er fullført, skriver du inn riktig kommando for miljøet ditt:
Når containeren kjører, ser du «Express-server lytter på port 8080». |
| 6 |
Installasjonsverktøyet støtter ikke tilkobling til localhost via http://localhost:8080. Bruk http://127.0.0.1:8080 for å koble til localhost. Bruk en nettleser til å gå til localhost, Verktøyet bruker denne første oppføringen av brukernavnet til å angi riktig miljø for den kontoen. Verktøyet viser deretter standard påloggingsledetekst. |
| 7 |
Når du blir bedt om det, skriver du inn påloggingsinformasjonen for Partner Hub-administratoren, og klikker deretter på Logg inn for å gi tilgang til de nødvendige tjenestene for Hybrid Data Security. |
| 8 |
På oversiktssiden for oppsettverktøyet klikker du på Kom i gang. |
| 9 |
På siden ISO-import klikker du på Ja. |
| 10 |
Velg ISO-filen din i nettleseren og last den opp. |
| 11 |
Gå til fanen Leietaker-CMK-administrasjon, der du finner følgende tre måter å administrere Leietaker-CMK-er på.
|
| 12 |
Når CMK-tilbakekallingen er vellykket, vil ikke kundeorganisasjonen lenger vises i tabellen. |
| 13 |
Hvis CMK-tilbakekalling mislykkes, vises en feilmelding. |
Test hybrid datasikkerhetsdistribusjonen din
Test din hybride datasikkerhetsimplementering
Før du begynner
-
Konfigurer din hybride datasikkerhetsdistribusjon for flere leietakere.
-
Sørg for at du har tilgang til sysloggen for å bekrefte at nøkkelforespørsler sendes til Multi-Tenant Hybrid Data Security-distribusjonen din.
| 1 |
Nøkler for et gitt område angis av den som har opprettet området. Logg på Webex-appen som en av brukerne i kundeorganisasjonen, og opprett deretter et område. Hvis du deaktiverer distribusjonen av Hybrid Data Security, vil innhold i områder som brukere oppretter ikke lenger være tilgjengelig når de klientbufrede kopiene av krypteringsnøklene er erstattet. |
| 2 |
Send meldinger til det nye rommet. |
| 3 |
Sjekk syslog-utdataene for å bekrefte at nøkkelforespørslene sendes til Hybrid Data Security-distribusjonen din. Hvis en bruker av en nylig tillagt kundeorganisasjon utfører en handling, vil organisasjonens organisasjons-ID vises i loggene, og dette kan brukes til å bekrefte at organisasjonen bruker Multi-Tenant HDS. Sjekk verdien av |
Overvåk hybrid datasikkerhetshelse
| 1 |
I Partnerhubvelger du Tjenester fra menyen på venstre side av skjermen. |
| 2 |
I Hybrid-delen finner du Hybrid datasikkerhet og klikker på Rediger innstillinger. Siden Innstillinger for hybrid datasikkerhet vises.
|
| 3 |
I delen E-postvarsler skriver du inn én eller flere e-postadresser atskilt med komma, og trykker på Enter. |
Administrer HDS-distribusjonen din
Administrer HDS-distribusjon
Bruk oppgavene som er beskrevet her til å administrere hybrid datasikkerhetsdistribusjonen din.
Angi en tidsplan for klyngeoppgradering
Slik angir du oppgraderingsplanen:
| 1 |
Logg inn på Partner Hub. |
| 2 |
Fra menyen på venstre side av skjermen velger du Tjenester. |
| 3 |
I Hybrid-delen finner du Hybrid datasikkerhet og klikker på Konfigurer |
| 4 |
På siden Hybride datasikkerhetsressurser velger du klyngen. |
| 5 |
Klikk på fanen Klyngeinnstillinger. |
| 6 |
På siden Klyngeinnstillinger, under Oppgraderingsplan, velger du klokkeslett og tidssone for oppgraderingsplanen. Merknad: Under tidssonen vises neste tilgjengelige oppgraderingsdato og -klokkeslett. Du kan utsette oppgraderingen til neste dag om nødvendig ved å klikke på Utsett med 24 timer. |
Endre nodekonfigurasjonen
-
Endring av x.509-sertifikater på grunn av utløp eller andre årsaker.
Vi støtter ikke endring av CN-domenenavnet til et sertifikat. Domenet må samsvare med det opprinnelige domenet som ble brukt til å registrere klyngen.
-
Oppdaterer databaseinnstillinger for å endre til en kopi av PostgreSQL- eller Microsoft SQL Server-databasen.
Vi støtter ikke migrering av data fra PostgreSQL til Microsoft SQL Server, eller motsatt vei. For å bytte databasemiljø, start en ny distribusjon av Hybrid Data Security.
-
Oppretter en ny konfigurasjon for å klargjøre et nytt datasenter.
Av sikkerhetshensyn bruker Hybrid Data Security også passord for tjenestekontoer som har en levetid på ni måneder. Etter at HDS-oppsettverktøyet genererer disse passordene, distribuerer du dem til hver av HDS-nodene dine i ISO-konfigurasjonsfilen. Når organisasjonens passord nærmer seg utløpsdatoen, mottar du et varsel fra Webex-teamet om å tilbakestille passordet for maskinkontoen din. (E-posten inneholder teksten «Bruk maskinkonto-API-et til å oppdatere passordet.») Hvis passordene dine ikke er utløpt ennå, gir verktøyet deg to alternativer:
-
Myk tilbakestilling– Både det gamle og det nye passordet fungerer i opptil 10 dager. Bruk denne perioden til å gradvis erstatte ISO-filen på nodene.
-
Hard tilbakestilling– De gamle passordene slutter å virke umiddelbart.
Hvis passordene dine utløper uten tilbakestilling, påvirker det HDS-tjenesten din, og krever en umiddelbar hard tilbakestilling og erstatning av ISO-filen på alle noder.
Bruk denne prosedyren til å generere en ny ISO-konfigurasjonsfil og bruke den på klyngen din.
Før du begynner
-
HDS-oppsettverktøyet kjører som en Docker-container på en lokal maskin. For å få tilgang til den, kjør Docker på den maskinen. Oppsettprosessen krever påloggingsinformasjonen til en Partner Hub-konto med fulle administratorrettigheter for partneren.
Hvis du ikke har en Docker Desktop-lisens, kan du bruke Podman Desktop til å kjøre HDS-oppsettverktøyet for trinn 1.a til 1.e i prosedyren nedenfor. Se Kjør HDS-oppsettverktøyet med Podman Desktop for detaljer.
Hvis HDS-oppsettverktøyet kjører bak en proxy i miljøet ditt, må du oppgi proxy-innstillingene (server, port, legitimasjon) via Docker-miljøvariabler når du åpner Docker-containeren i 1.e. Denne tabellen viser noen mulige miljøvariabler:
Beskrivelse
Variabel
HTTP-proxy uten autentisering
GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORTHTTPS-proxy uten autentisering
GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORTHTTP-proxy med autentisering
GLOBAL_AGENT_HTTP_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORTHTTPS-proxy med autentisering
GLOBAL_AGENT_HTTPS_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT -
Du trenger en kopi av den gjeldende ISO-filen for konfigurasjonen for å generere en ny konfigurasjon. ISO-filen inneholder hovednøkkelen som krypterer PostgreSQL- eller Microsoft SQL Server-databasen. Du trenger ISO-filen når du gjør konfigurasjonsendringer, inkludert databaselegitimasjon, sertifikatoppdateringer eller endringer i autorisasjonspolicyen.
| 1 |
Kjør HDS-oppsettverktøyet ved hjelp av Docker på en lokal maskin. |
| 2 |
Hvis du bare har én HDS-node som kjører, oppretter du en ny virtuell maskin for hybrid datasikkerhetsnoden og registrerer den ved hjelp av den nye ISO-konfigurasjonsfilen. For mer detaljerte instruksjoner, se Opprett og registrer flere noder. |
| 3 |
For eksisterende HDS-noder som kjører den eldre konfigurasjonsfilen, monter ISO-filen. Utfør følgende prosedyre på hver node etter tur, og oppdater hver node før du slår av neste node: |
| 4 |
Gjenta trinn 3 for å erstatte konfigurasjonen på hver gjenværende node som kjører den gamle konfigurasjonen. |
Slå av blokkert ekstern DNS-oppløsningsmodus
Når du registrerer en node eller sjekker nodens proxy-konfigurasjon, tester prosessen DNS-oppslag og tilkobling til Cisco Webex-skyen. Hvis nodens DNS-server ikke kan løse offentlige DNS-navn, går noden automatisk inn i modus for blokkert ekstern DNS-løsning.
Hvis nodene dine kan løse offentlige DNS-navn gjennom interne DNS-servere, kan du slå av denne modusen ved å kjøre proxy-tilkoblingstesten på nytt på hver node.
Før du begynner
| 1 |
I en nettleser åpner du Hybrid Data Security-nodegrensesnittet (IP address/setup, For eksempel, https://192.0.2.0/setup), skriv inn administratorlegitimasjonen du har satt opp for noden, og klikk deretter på Logg på. |
| 2 |
Gå til Oversikt (standardsiden). Når den er aktivert, er Blokkert ekstern DNS-oppløsning satt til Ja. |
| 3 |
Gå til Trust Store & Proxy -side. |
| 4 |
Klikk på Sjekk proxy-tilkobling. Hvis du ser en melding som sier at ekstern DNS-løsning ikke var vellykket, klarte ikke noden å nå DNS-serveren og vil forbli i denne modusen. Ellers, etter at du har startet noden på nytt og går tilbake til siden Oversikt, bør Blokkert ekstern DNS-oppløsning settes til nei. |
Hva du skal gjøre nå
Fjern en node
| 1 |
Bruk VMware vSphere-klienten på datamaskinen din til å logge på den virtuelle ESXi-verten og slå av den virtuelle maskinen. |
| 2 |
Fjern noden: |
| 3 |
Slett den virtuelle maskinen i vSphere-klienten. (I venstre navigasjonsrute høyreklikker du på den virtuelle maskinen og klikker på Slett.) Hvis du ikke sletter den virtuelle maskinen, husk å avmontere konfigurasjons-ISO-filen. Uten ISO-filen kan du ikke bruke den virtuelle maskinen til å få tilgang til sikkerhetsdataene dine. |
Katastrofegjenoppretting ved bruk av standby-datasenter
Den viktigste tjenesten som hybrid datasikkerhetsklyngen din tilbyr, er oppretting og lagring av nøkler som brukes til å kryptere meldinger og annet innhold som er lagret i Webex-skyen. For hver bruker i organisasjonen som er tilordnet Hybrid Data Security, rutes nye forespørsler om nøkkeloppretting til klyngen. Klyngen er også ansvarlig for å returnere nøklene den har opprettet til alle brukere som er autorisert til å hente dem, for eksempel medlemmer av et samtaleområde.
Fordi klyngen utfører den kritiske funksjonen med å levere disse nøklene, er det avgjørende at klyngen forblir i gang og at det vedlikeholdes riktige sikkerhetskopier. Tap av Hybrid Data Security-databasen eller av konfigurasjons-ISO-en som brukes for skjemaet vil føre til UKJENOPPRETTBART TAP av kundeinnhold. Følgende fremgangsmåter er obligatoriske for å forhindre et slikt tap:
Hvis en katastrofe fører til at HDS-distribusjonen i det primære datasenteret blir utilgjengelig, følger du denne prosedyren for å manuelt bytte til reservedatasenteret.
Før du begynner
| 1 |
Start HDS-oppsettverktøyet og følg trinnene som er nevnt i Opprett en konfigurasjons-ISO for HDS-vertene. |
| 2 |
Etter at du har konfigurert Syslogd-serveren, klikker du på Avanserte innstillinger |
| 3 |
På siden Avanserte innstillinger legger du til konfigurasjonen nedenfor eller fjerner
|
| 4 |
Fullfør konfigurasjonsprosessen og lagre ISO-filen på et sted som er lett å finne. |
| 5 |
Lag en sikkerhetskopi av ISO-filen på ditt lokale system. Oppbevar sikkerhetskopien sikkert. Denne filen inneholder en hovedkrypteringsnøkkel for databaseinnholdet. Begrens tilgangen til kun de administratorene for hybrid datasikkerhet som skal gjøre konfigurasjonsendringer. |
| 6 |
I VMware vSphere-klientens venstre navigasjonsrute høyreklikker du på den virtuelle maskinen og klikker på Rediger innstillinger.. |
| 7 |
Klikk på Rediger innstillinger >CD/DVD Stasjon 1 og velg ISO-fil for datalager. Sørg for at Tilkoblet og Koble til ved oppstart er avmerket, slik at oppdaterte konfigurasjonsendringer kan tre i kraft etter at nodene har startet. |
| 8 |
Slå på HDS-noden og sørg for at det ikke er noen alarmer på minst 15 minutter. |
| 9 |
Gjenta prosessen for hver node i standby-datasenteret. Sjekk syslog-utdataene for å bekrefte at nodene i standby-datasenteret ikke er i passiv modus. «KMS konfigurert i passiv modus» skal ikke vises i systemloggene. |
Hva du skal gjøre nå
(Valgfritt) Avmonter ISO etter HDS-konfigurasjon
Standard HDS-konfigurasjonen kjører med ISO montert. Men noen kunder foretrekker å ikke la ISO-filer være kontinuerlig montert. Du kan avmontere ISO-filen etter at alle HDS-nodene har hentet den nye konfigurasjonen.
Du bruker fortsatt ISO-filene til å gjøre konfigurasjonsendringer. Når du oppretter en ny ISO eller oppdaterer en ISO via installasjonsverktøyet, må du montere den oppdaterte ISO-en på alle HDS-nodene dine. Når alle nodene dine har plukket opp konfigurasjonsendringene, kan du avmontere ISO-en igjen med denne prosedyren.
Før du begynner
Oppgrader alle HDS-nodene dine til versjon 2025.06.02.6983 eller nyere.
| 1 |
Slå av en av HDS-nodene dine. |
| 2 |
I vCenter Server Appliance velger du HDS-noden. |
| 3 |
Velg og fjern merket for Datastore ISO-fil. |
| 4 |
Slå på HDS-noden og sørg for at det ikke er noen alarmer på minst 20 minutter. |
| 5 |
Gjenta for hver HDS-node etter tur. |
Feilsøking av hybrid datasikkerhet
Vis varsler og feilsøk
En hybrid datasikkerhetsdistribusjon anses som utilgjengelig hvis alle noder i klyngen ikke kan nås, eller klyngen fungerer så sakte at forespørsler blir tidsavbrutt. Hvis brukere ikke kan nå Hybrid Data Security-klyngen din, opplever de følgende symptomer:
-
Nye mellomrom kan ikke opprettes (kan ikke opprette nye nøkler)
-
Meldinger og romtitler klarer ikke å dekryptere for:
-
Nye brukere lagt til i et rom (kan ikke hente nøkler)
-
Eksisterende brukere i et område som bruker en ny klient (kan ikke hente nøkler)
-
-
Eksisterende brukere i et område vil fortsette å kjøre uten problemer så lenge klientene deres har en hurtigbuffer med krypteringsnøklene
Det er viktig at du overvåker Hybrid Data Security-klyngen din ordentlig og adresserer eventuelle varsler raskt for å unngå avbrudd i tjenesten.
Varsler
Hvis det er et problem med oppsettet av hybrid datasikkerhet, viser Partner Hub varsler til organisasjonsadministratoren og sender e-poster til den konfigurerte e-postadressen. Varslene dekker mange vanlige scenarier.
|
Varsle |
Handling |
|---|---|
|
Tilgangsfeil for lokal database. |
Sjekk for databasefeil eller problemer med det lokale nettverket. |
|
Feil på tilkobling til lokal database. |
Kontroller at databaseserveren er tilgjengelig, og at riktig tjenestekontolegitimasjon ble brukt i nodekonfigurasjonen. |
|
Feil med tilgang til skytjenesten. |
Kontroller at nodene har tilgang til Webex-serverne som angitt i Krav til ekstern tilkobling. |
|
Fornyer registrering av skytjeneste. |
Registrering til skytjenester ble droppet. Fornyelse av registreringen pågår. |
|
Registrering av skytjeneste er fjernet. |
Registrering for skytjenester er avsluttet. Tjenesten stenges ned. |
|
Tjenesten er ikke aktivert ennå. |
Aktiver HDS i Partner Hub. |
|
Det konfigurerte domenet samsvarer ikke med serversertifikatet. |
Sørg for at serversertifikatet ditt samsvarer med det konfigurerte domenet for tjenesteaktivering. Den mest sannsynlige årsaken er at sertifikatets CN nylig ble endret og nå er forskjellig fra CN-en som ble brukt under den første oppsettet. |
|
Kunne ikke autentisere mot skytjenester. |
Sjekk nøyaktighet og mulig utløpsdato for tjenestekontolegitimasjon. |
|
Kunne ikke åpne den lokale nøkkellagerfilen. |
Sjekk integriteten og passordnøyaktigheten på den lokale nøkkellagerfilen. |
|
Det lokale serversertifikatet er ugyldig. |
Sjekk utløpsdatoen for serversertifikatet og bekreft at det ble utstedt av en pålitelig sertifiseringsinstans. |
|
Kan ikke legge ut målinger. |
Sjekk lokal nettverkstilgang til eksterne skytjenester. |
|
/media/configdrive/hds katalogen finnes ikke. |
Sjekk ISO-monteringskonfigurasjonen på den virtuelle verten. Bekreft at ISO-filen finnes, at den er konfigurert til å monteres ved omstart, og at den monteres uten problemer. |
|
Oppsettet av leietakerorganisasjonen er ikke fullført for de tillagte organisasjonene. |
Fullfør oppsettet ved å opprette CMK-er for nylig tillagte leietakerorganisasjoner ved hjelp av HDS Setup Tool. |
|
Oppsettet av leietakerorganisasjonen er ikke fullført for de fjernede organisasjonene. |
Fullfør oppsettet ved å tilbakekalle CMK-er for leietakerorganisasjoner som ble fjernet ved hjelp av HDS Setup Tool. |
Feilsøking av hybrid datasikkerhet
| 1 |
Logg inn på Partner Hub. |
| 2 |
Fra menyen på venstre side av skjermen velger du Tjenester. |
| 3 |
I Hybrid-delen finner du Hybrid datasikkerhet og klikker på Hendelser. |
| 4 |
Se gjennom hendelseshistorikksiden for varsler og fiks eventuelle elementer du finner der. Se bildet nedenfor som referanse. |
| 5 |
Se gjennom syslog-serverutdataene for aktivitet fra Hybrid Data Security-distribusjonen. Filtrer etter ord som «Advarsel» og «Feil» for å hjelpe til med feilsøking. |
| 6 |
Kontakt Cisco-kundestøtte. |
Andre notater
Kjente problemer for hybrid datasikkerhet
-
Hvis du slår av alle dine aktive Hybrid Data Security-klynger (ved å slette dem i Partner Hub eller ved å slå av alle noder), mister konfigurasjons-ISO-filen eller mister tilgang til nøkkellagerdatabasen, kan ikke Webex-appbrukere av kundeorganisasjoner lenger bruke mellomrom under personlisten sin som ble opprettet med nøkler fra KMS-systemet ditt. Vi har for øyeblikket ingen løsning eller løsning på dette problemet, og vi oppfordrer deg til ikke å stenge ned HDS-tjenestene dine når de håndterer aktive brukerkontoer.
-
En klient som har en eksisterende ECDH-tilkobling til et KMS, opprettholder denne tilkoblingen i en periode (sannsynligvis én time).
Kjør HDS Setup-verktøyet med Podman Desktop
Podman er et gratis og åpen kildekode-verktøy for containeradministrasjon som gir en måte å kjøre, administrere og opprette containere på. Podman Desktop kan lastes ned fra https://podman-desktop.io/downloads.
-
HDS-oppsettverktøyet kjører som en Docker-container på en lokal maskin. For å få tilgang til den, last ned og kjør Podman på den maskinen. Konfigurasjonsprosessen krever legitimasjonen til en Control Hub-konto med fulle administratorrettigheter for organisasjonen din.
Hvis HDS-oppsettverktøyet kjører bak en proxy i miljøet ditt, må du oppgi proxy-innstillingene (server, port, legitimasjon) via Docker-miljøvariabler når du åpner Docker-containeren i trinn 5. Denne tabellen viser noen mulige miljøvariabler:
Beskrivelse
Variabel
HTTP-proxy uten autentisering
GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORTHTTPS-proxy uten autentisering
GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORTHTTP-proxy med autentisering
GLOBAL_AGENT_HTTP_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORTHTTPS-proxy med autentisering
GLOBAL_AGENT_HTTPS_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT -
Konfigurasjons-ISO-filen du genererer inneholder hovednøkkelen som krypterer PostgreSQL- eller Microsoft SQL Server-databasen. Du trenger den nyeste kopien av denne filen hver gang du gjør konfigurasjonsendringer, som disse:
-
Databaselegitimasjon
-
Sertifikatoppdateringer
-
Endringer i autorisasjonspolicyen
-
-
Hvis du planlegger å kryptere databasetilkoblinger, må du konfigurere PostgreSQL- eller SQL Server-distribusjonen din for TLS.
Konfigurasjonsprosessen for hybrid datasikkerhet oppretter en ISO-fil. Deretter bruker du ISO-filen til å konfigurere Hybrid Data Security-verten din.
| 1 |
Skriv inn riktig kommando for miljøet ditt på maskinens kommandolinje: I vanlige miljøer: I FedRAMP-miljøer: Dette trinnet rydder opp i tidligere bilder av HDS-oppsettverktøyet. Hvis det ikke finnes noen tidligere bilder, returnerer den en feil som du kan ignorere. |
| 2 |
For å logge på Docker-avbildningsregisteret, skriv inn følgende: |
| 3 |
Ved passordledeteksten skriver du inn denne hashen: |
| 4 |
Last ned det nyeste stabile bildet for miljøet ditt: I vanlige miljøer: I FedRAMP-miljøer: |
| 5 |
Når hentingen er fullført, skriver du inn riktig kommando for miljøet ditt:
Når containeren kjører, ser du «Express-server lytter på port 8080». |
Hva du skal gjøre nå
Flytt den eksisterende HDS-distribusjonen med én leietaker fra en partnerorganisasjon i Control Hub til et HDS-oppsett med flere leietakere i Partner Hub
Konverteringen fra en eksisterende HDS-distribusjon med én leier i en partnerorganisasjon administrert i Control Hub til en HDS-distribusjon med flere leiere administrert i Partner Hub innebærer hovedsakelig å deaktivere HDS-tjenesten i Control Hub, avregistrere noder og slette klyngen. Deretter kan du logge inn på Partner Hub, registrere nodene, aktivere Multi-Tenant HDS og legge til kunder i klyngen din.
Begrepet «enkeltleietaker» refererer ganske enkelt til en eksisterende HDS-distribusjon i Control Hub.
Deaktiver HDS, avregistrer noder og slett alle klynger i Control Hub
| 1 |
Logg inn på Kontrollhub. Klikk på Hybridi venstre rute. Klikk på Rediger innstillingerpå Hybrid Data Security-kortet. |
| 2 |
På innstillingssiden blar du ned til Deaktiver-delen og klikker på Deaktiver. |
| 3 |
Etter deaktivering, klikk på fanen Ressurser. |
| 4 |
Siden Ressurser viser en liste over klynger i HDS-distribusjonen din. Klikk på en klynge, så åpnes en side med alle noder under den klyngen. |
| 5 |
Klikk på |
| 6 |
Hvis distribusjonen din har flere klynger, gjenta trinn 4 og trinn 5 til alle noder er avregistrert. |
| 7 |
Klikk på Klyngeinnstillinger > Fjern. |
| 8 |
Klikk på Bekreft fjerning for å avregistrere klyngen. |
| 9 |
Gjenta prosessen for alle klynger i HDS-distribusjonen din. Etter deaktivering av HDS, avregistrering av noder og fjerning av klynger, vil Hybrid Data Service-kortet på Control Hub ha Oppsettet ikke fullført vist nederst. |
Aktiver Multi-Tenant HDS for partnerorganisasjonen på Partner Hub og legg til kunder
Før du begynner
Alle forutsetningene nevnt i Krav til hybrid datasikkerhet for flere leietakere gjelder her. I tillegg må du sørge for at samme database og sertifikater brukes under overføringen til Multi-Tenant HDS.
| 1 |
Logg inn på Partner Hub. Klikk på Tjenester i venstre rute. Bruk den samme ISO-en fra den forrige HDS-distribusjonen din til å konfigurere nodene. Dette vil sikre at meldinger og innhold generert av brukerne i den forrige eksisterende HDS-distribusjonen fortsatt er tilgjengelig i det nye oppsettet for flere leietakere. |
| 2 |
I Hybrid-delen finner du Hybrid Data Security-kortet og klikker på Konfigurer. |
| 3 |
På siden som åpnes, klikk på Legg til en ressurs. |
| 4 |
I det første feltet på kortet Opprett en klynge skriver du inn et navn på klyngen du vil tilordne Hybrid Data Security-noden til. Vi anbefaler at du navngir en klynge basert på hvor nodene i klyngen befinner seg geografisk. Eksempler: «San Francisco» eller «New York» eller «Dallas» |
| 5 |
I det andre feltet skriver du inn den interne IP-adressen eller det fullstendig kvalifiserte domenenavnet (FQDN) til noden din og klikker på Legg til nederst på skjermen. Denne IP-adressen eller FQDN-en skal samsvare med IP-adressen eller vertsnavnet og domenet du brukte i Konfigurer den hybride virtuelle datamaskinen for datasikkerhet. Det vises en melding som angir at du kan registrere noden din i Webex.
|
| 6 |
Klikk på Gå til node. Etter noen få øyeblikk blir du omdirigert til nodetilkoblingstestene for Webex-tjenester. Hvis alle testene er vellykkede, vises siden Tillat tilgang til hybrid datasikkerhetsnode. Der bekrefter du at du vil gi Webex-organisasjonen din tillatelse til å få tilgang til noden din. |
| 7 |
Merk av i boksen Tillat tilgang til hybrid datasikkerhetsnode, og klikk deretter på Fortsett. Kontoen din er validert, og meldingen «Registrering fullført» indikerer at noden din nå er registrert i Webex Cloud. På siden Hybrid datasikkerhet vises den nye klyngen som inneholder noden du registrerte, under fanen Ressurser. Noden vil automatisk laste ned den nyeste programvaren fra skyen.
|
| 8 |
Gå til fanen Innstillinger og klikk på Aktiver på HDS-statuskortet. Meldingen om aktivert HDS vises nederst på skjermen.
|
| 9 |
Klikk på fanen Tildelte kunder. |
| 10 |
Klikk på Legg til kunder. |
| 11 |
Velg kunden du vil legge til fra rullegardinmenyen. |
| 12 |
Klikk på Legg til, kunden vil bli lagt til i klyngen. |
| 13 |
Gjenta trinn 11 til 13 for å legge til flere kunder i klyngen din. |
| 14 |
Klikk på Ferdig nederst på skjermen når du har lagt til kundene. |
Hva du skal gjøre nå
Bruk OpenSSL til å generere en PKCS12-fil
Før du begynner
-
OpenSSL er et verktøy som kan brukes til å lage PKCS12-filen i riktig format for lasting i HDS Setup Tool. Det finnes andre måter å gjøre dette på, og vi støtter eller fremmer ikke én måte fremfor en annen.
-
Hvis du velger å bruke OpenSSL, tilbyr vi denne prosedyren som en veiledning for å hjelpe deg med å opprette en fil som oppfyller X.509-sertifikatkravene i X.509-sertifikatkrav. Forstå disse kravene før du fortsetter.
-
Installer OpenSSL i et støttet miljø. Se https://www.openssl.org for programvare og dokumentasjon.
-
Opprett en privat nøkkel.
-
Start denne prosedyren når du mottar serversertifikatet fra sertifiseringsinstansen din (CA).
| 1 |
Når du mottar serversertifikatet fra CA-en din, lagrer du det som |
| 2 |
Vis sertifikatet som tekst, og bekreft detaljene.
|
| 3 |
Bruk en teksteditor til å opprette en sertifikatpakkefil kalt
|
| 4 |
Opprett .p12-filen med det egendefinerte navnet
|
| 5 |
Sjekk detaljene for serversertifikatet. |
Hva du skal gjøre nå
Gå tilbake til Fullfør forutsetningene for hybrid datasikkerhet. Du bruker hdsnode.p12 -filen og passordet du har angitt for den i Opprett en konfigurasjons-ISO for HDS-vertene.
Du kan bruke disse filene på nytt for å be om et nytt sertifikat når det opprinnelige sertifikatet utløper.
Trafikk mellom HDS-nodene og skyen
Utgående målinger Innsamling av trafikk
Hybrid datasikkerhetsnodene sender visse målinger til Webex-skyen. Disse inkluderer systemmålinger for heap maks, heap brukt, CPU-belastning og trådantall; målinger på synkrone og asynkrone tråder; målinger på varsler som involverer en terskel for krypteringstilkoblinger, latens eller en forespørselskølengde; målinger på datalageret; og målinger for krypteringstilkoblinger. Nodene sender kryptert nøkkelmateriale over en out-of-band (separat fra forespørselen) kanal.
Innkommende trafikk
Hybride datasikkerhetsnoder mottar følgende typer innkommende trafikk fra Webex-skyen:
-
Krypteringsforespørsler fra klienter, som rutes av krypteringstjenesten
-
Oppgraderinger til nodeprogramvaren
Konfigurer Squid-proxyer for hybrid datasikkerhet
Websocket kan ikke koble til via Squid-proxyen
Squid-proxyer som inspiserer HTTPS-trafikk kan forstyrre etableringen av websocket (wss:)-tilkoblinger som Hybrid Data Security krever. Disse avsnittene gir veiledning om hvordan du konfigurerer ulike versjoner av Squid til å ignorere wss: -trafikk for at tjenestene skal fungere som de skal.
Blekksprut 4 og 5
Legg til on_unsupported_protocol -direktivet i squid.conf:
on_unsupported_protocol tunnel allBlekksprut 3.5.27
Vi testet hybrid datasikkerhet med følgende regler lagt til i squid.conf. Disse reglene kan endres etter hvert som vi utvikler funksjoner og oppdaterer Webex-skyen.
acl wssMercuryConnection ssl::server_name_regex mercury-connection
ssl_bump splice wssMercuryConnection
acl step1 at_step SslBump1
acl step2 at_step SslBump2
acl step3 at_step SslBump3
ssl_bump peek step1 all
ssl_bump stare step2 all
ssl_bump bump step3 allNy og endret informasjon
Denne tabellen dekker nye funksjoner eller funksjonalitet, endringer i eksisterende innhold og eventuelle store feil som ble løst i Distribusjonsveiledning for hybriddatasikkerhet for flere leietakere.
|
Dato |
Endringer gjort |
|---|---|
| Juli 30, 2026 |
|
| Juli 02, 2026 |
|
| Juni 23, 2026 |
|
| Juni 01, 2026 |
|
| 16 april, 2026 |
|
| 25 mars, 2026 |
|
|
05 desember, 2025 |
|
|
November 21, 2025 |
|
|
08 mai, 2025 |
|
| 04 mars, 2025 |
|
|
Januar 30, 2025 |
La til SQL-serverversjon 2022 i listen over støttede SQL-servere i Databaseserverkrav. |
|
Januar 15, 2025 |
Lagt til Begrensninger for hybriddatasikkerhet for flere leiere. |
|
Januar 08, 2025 |
La til en merknad i Utfør første konfigurasjon og last ned installasjonsfiler som sier at det er et viktig trinn i installasjonsprosessen å klikke på Konfigurer på HDS-kortet i Partner Hub. |
|
Januar 07, 2025 |
Oppdatert Krav til virtuell vert, Oppgaveflyt for distribusjon av hybrid datasikkerhet og Installer HDS Host OVA for å vise nye krav til ESXi 7.0. |
|
13 desember, 2024 |
Først publisert. |
Oppgaveflyt for deaktivering av HDS for flere leietakere
Følg disse trinnene for å deaktivere HDS for flere leietakere fullstendig.
Før du begynner
| 1 | Remove all customers from all your clusters, as mentioned in Remove tenant organizations. |
| 2 | Revoke the CMKs of all customers, as mentioned in Revoke CMKs of tenants removed from HDS.. |
| 3 | Remove all nodes from all your clusters, as mentioned in Remove a Node. |
| 4 | Slett alle klyngene dine fra Partner Hub ved hjelp av én av følgende to metoder.
|
| 5 | Klikk på fanen Innstillinger på oversiktssiden for hybriddatasikkerhet, og klikk på Deaktiver HDS på HDS-statuskortet. |
Vanlige spørsmål
Spm. Lagres CMK-ene og hovednøkkelen i ISO eller databasen?
SV. Kundens hovednøkler (CMK-er) lagres i databasen og krypteres med hovednøkkelen, som lagres i ISO-en.
Spm. Brukes én nøkkel til å kryptere alle data fra kundeorganisasjoner?
SV. Nei. Dataene til hver kundeorganisasjon er kryptert med sin egen CMK (kundens hovednøkkel).
Spm. Hva skjer hvis jeg deaktiverer HDS fra Partner Hub?
SV. Noen operasjoner, for eksempel å opprette et område og planlegge møter, vil bli påvirket umiddelbart. Eksisterende innhold i områder vil være tilgjengelig frem til den lokale hurtigbufferen utløper. Etter 24 timer vil brukere som administreres av partneren, bytte til Cloud KMS, og problemer kan oppstå med tidligere opprettede områder og én-til-én-områder.
Spm. Når CMK er generert for en kundeorganisasjon gjennom HDS-installasjonsverktøyet, begynner brukere av kundeorganisasjonen umiddelbart å bruke HDS med flere leietakere?
SV. Det kan være en maksimal forsinkelse på 24 timer før skybufferen oppdateres.
Spm. Hvorfor ser jeg ikke en liste over kunder når jeg klikker på knappen «Legg til kunder» i Partner Hub?
SV. Dette betyr vanligvis at det ikke finnes kundeorganisasjoner som oppfyller Cisco Webex-lisenskravene.
Spm. Hva er innvirkningen hvis alle HDS-nodene slås av, eller hvis et nettverksproblem påvirker alle HDS-nodene?
SV. Operasjoner som å opprette områder og planlegge møter påvirkes umiddelbart. Eksisterende innhold er bare tilgjengelig til den lokale hurtigbufferen utløper.
Spm. Krypteres partnerorganisasjonens brukerdata med hovednøkkelen som genereres under opprettelsen av ISO?
SV. Ja. For øyeblikket krypteres partnerorganisasjonens brukerdata med hovednøkkelen. I fremtiden vil partnerorganisasjoner ha partnerspesifikke nøkler, på samme måte som kunde-CMK-er.
Spm. Kan partnerorganisasjonen og leietakerorganisasjonene være i forskjellige regioner (for eksempel USA og EU)?
SV. Ja. Partner- og leietakerorganisasjoner kan være plassert i forskjellige geografiske områder.
Spm. Finnes det noen mekanisme for å flytte nøkler tilbake til Cloud KMS?
SV. Det finnes ingen mekanisme for å flytte nøkler tilbake til skyen etter en HDS-distribusjon.
Spm. Kan en partner fortsette å bruke Cloud KMS og bruke HDS med flere leietakere utelukkende til å administrere kunder?
SV. Nei, dette støttes ikke for øyeblikket. Støtte for denne funksjonaliteten er planlagt for fremtiden.
Spm. Hvordan kan en partner bekrefte at organisasjonen bruker HDS med flere leietakere til kryptering?
SV. Logg på Partner Hub. Gå til Services > Hybrid Data Security > Settings . Hvis HDS-status er aktivert, bruker både brukere av partnerorganisasjonen og tilordnede kunder HDS med flere leietakere.
Du kan også sjekke syslogs for å bekrefte at HDS er aktivert. Se Test distribusjonen av hybrid datasikkerhet.
Spm. Finnes det et alternativ til Docker Desktop for å kjøre HDS-installasjonsverktøyet?
SV. Ja. Pod man Desktop er et åpen kildekode-alternativ til Docker Desktop. Se Kjør HDS-installasjonsverktøy ved hjelp av Podman Desktop.
Spm. Hvor mange noder kan jeg distribuere i en HDS-klynge med flere leietakere?
A. Vi anbefaler minst to noder og maksimalt 1000.
Spm. Hva er nettverkskravene som kreves for å konfigurere HDS med flere leietakere?
SV. Se Krav til ekstern tilkobling.
Spm. Er Pro Pack for Control Hub et krav for partnerorganisasjoner?
SV. Nei. Pro Pack er ikke et krav for partnerorganisasjoner. Kontakt din Cisco-partner eller kontoadministrator for å få hjelp til å konfigurere HDS for flere leietakere.
Spm. Støttes HSM i HDS med flere leietakere?
SV. Nei, for øyeblikket støtter HDS med flere leietakere ikke HSM.
Spm. Kan jeg teste HDS for flere leietakere med et selvsignert sertifikat?
SV. Nei. HDS for flere leietakere krever et sertifikat hentet fra en klarert sertifiseringsinstans som oppfyller alle kravene nevnt i X.509 Sertifikatkrav.
Spm. Er det nødvendig å montere ISO hver gang en ny kunde legges til i Partner Hub?
SV. Nei. ISO-en må bare monteres ved endring av ISO-konfigurasjoner. Når du legger til en ny kunde på Partner Hub, må du sørge for at du kan opprette CMK-er ved hjelp av HDS-installasjonsverktøyet. Se Opprett kundehovednøkler (CMK-er) ved hjelp av HDS-installasjonsverktøyet.
Spm. Etter at HDS med flere leietakere er distribuert på Partner Hub, begynner brukerne i partnerorganisasjonen å bruke lokal KMS for nøkkeladministrasjon?
SV. Brukere vil bare begynne å bruke lokal KMS for nøkkeladministrasjon etter at HDS er aktivert i Partner Hub.
Oversikt over hybriddatasikkerhet for flere leietakere
Fra dag én har datasikkerhet vært hovedfokuset i utformingen av Webex-appen.Hjørnesteinen i denne sikkerheten er innholdskryptering fra ende-til-ende, aktivert av Webex-appklienter som samhandler med Key Management Service (KMS).KMS er ansvarlig for å opprette og administrere kryptografiske nøkler som klienter bruker til dynamisk kryptering og dekryptering av meldinger og filer.
Som standard får alle Webex-appkunder ende-til-ende-kryptering med dynamiske nøkler lagret i skyen KMS, i Ciscos sikkerhetsområde.Hybrid Data Security flytter KMS og andre sikkerhetsrelaterte funksjoner til bedriftens datasenter, så ingen andre enn deg har nøklene til ditt krypterte innhold.
Multi-Tenant Hybrid Data Security gjør det mulig for organisasjoner å utnytte HDS gjennom en klarert lokal partner, som kan fungere som tjenesteleverandør og administrere lokal kryptering og andre sikkerhetstjenester.Dette oppsettet gjør det mulig for partnerorganisasjonen å ha full kontroll over distribusjon og administrasjon av krypteringsnøkler og sikrer at brukerdata fra kundeorganisasjoner er trygge mot ekstern tilgang.Partnerorganisasjoner setter opp HDS-forekomster og oppretter HDS-klynger etter behov.Hver forekomst kan støtte flere kundeorganisasjoner i motsetning til en vanlig HDS-distribusjon som er begrenset til én enkelt organisasjon.
Dette gjør det også mulig for mindre organisasjoner å utnytte HDS, siden tjeneste for nøkkeladministrasjon og sikkerhetsinfrastruktur som datasentre eies av den klarerte lokale partneren.
Hvordan hybriddatasikkerhet for flere leietakere gir datasuverenitet og datakontroll
- Brukergenerert innhold er beskyttet mot ekstern tilgang, for eksempel skytjenesteleverandører.
- Lokale klarerte partnere administrerer krypteringsnøklene til kunder de allerede har etablert relasjoner med.
- Alternativ for lokal teknisk støtte, hvis den leveres av partneren.
- Støtter innhold i møter, meldinger og anrop.
Dette dokumentet er ment å hjelpe partnerorganisasjoner med å konfigurere og administrere kunder under et hybriddatasikkerhetssystem for flere leietakere.
Begrensninger for hybriddatasikkerhet for flere leietakere
- Partnerorganisasjoner kan ikke ha noen eksisterende HDS-distribusjon aktiv i Control Hub.
- Leier- eller kundeorganisasjoner som ønsker å bli administrert av en partner, må ikke ha noen eksisterende HDS-distribusjon i Control Hub.
- Når Multi-Tenant HDS er distribuert av partneren, begynner alle brukere av kundeorganisasjoner samt brukere av partnerorganisasjonen å bruke Multi-Tenant HDS for sine krypteringstjenester.
Partnerorganisasjonen og kundeorganisasjonene de administrerer, vil være på samme HDS-distribusjon for flere leietakere.
Partnerorganisasjonen vil ikke lenger bruke sky-KMS etter at multi-tenant HDS er distribuert.
- Det finnes ingen mekanisme for å flytte nøkler tilbake til Cloud KMS etter en HDS-distribusjon.
- Administratorroller har visse begrensninger. Se avsnittet nedenfor for detaljer.
Roller i hybriddatasikkerhet for flere leietakere
- Fullstendig partneradministrator – kan administrere innstillinger for alle kunder som partneren administrerer.Kan også tilordne administratorroller til eksisterende brukere i organisasjonen og tilordne bestemte kunder som skal administreres av partneradministratorer.
- Partneradministrator – Kan administrere innstillinger for kunder som administratoren har klargjort, eller som er tilordnet brukeren.
- Fullverdig administrator – Administrator for partnerorganisasjonen som er autorisert til å utføre oppgaver som å endre organisasjonsinnstillinger, administrere lisenser og tilordne roller.
- Ende-til-ende-HDS-oppsett og administrasjon av alle kundeorganisasjoner – fullstendig partneradministrator og fullstendige administratorrettigheter kreves.
- Administrasjon av tilordnede leietakerorganisasjoner – partneradministrator og fullstendige administratorrettigheter kreves.
Sikkerhetsområde arkitektur
Webex-skyarkitekturen skiller forskjellige typer tjenester inn i separate områder, eller klareringsdomener, som vist nedenfor.
For å forstå hybrid datasikkerhet ytterligere, la oss først se på dette rene skytilfellet, der Cisco leverer alle funksjonene i sine skyområder.Identitetstjenesten, det eneste stedet der brukere kan være direkte knyttet til sine personopplysninger, for eksempel e-postadresser, er logisk og fysisk adskilt fra sikkerhetsområdet i datasenter B.Begge er i sin tur atskilt fra området der kryptert innhold til slutt lagres, i datasenter C.
I dette diagrammet er klienten Webex-appen som kjører på en brukers bærbare datamaskin, og har autentisert seg med identitetstjenesten.Når brukeren skriver en melding som skal sendes til et område, utføres følgende trinn:
Klienten oppretter en sikker tilkobling til nøkkeladministrasjonstjenesten (KMS), og ber deretter om en nøkkel for å kryptere meldingen.Den sikre tilkoblingen bruker ECDH, og KMS krypterer nøkkelen ved hjelp av en AES-256 hovednøkkel.
Meldingen krypteres før den forlater klienten.Klienten sender det til indekseringstjenesten, som oppretter krypterte søkeindekser for å hjelpe i fremtidige søk etter innholdet.
Den krypterte meldingen sendes til samsvarstjenesten for kontroll av samsvar.
Den krypterte meldingen lagres i lagringsområdet.
Når du distribuerer hybrid datasikkerhet, flytter du sikkerhetsområdefunksjonene (KMS, indeksering og samsvar) til det lokale datasenteret.De andre skytjenestene som utgjør Webex (inkludert identitets- og innholdslagring) forblir i Ciscos områder.
Samarbeide med andre organisasjoner
Brukere i organisasjonen kan regelmessig bruke Webex-appen til å samarbeide med eksterne deltakere i andre organisasjoner.Når en av brukerne ber om en nøkkel for et område som eies av organisasjonen din (fordi det ble opprettet av en av brukerne), sender KMS nøkkelen til klienten via en ECDH-sikret kanal.Når en annen organisasjon eier nøkkelen for området, sender KMS imidlertid forespørselen ut til Webex-skyen via en egen ECDH-kanal for å hente nøkkelen fra den aktuelle KMS, og returnerer deretter nøkkelen til brukeren din på den opprinnelige kanalen.
KMS-tjenesten som kjører på Org A, validerer tilkoblingene til KMS i andre organisasjoner ved hjelp av x.509 PKI-sertifikater.Se Forbered miljøet ditt for detaljer om hvordan du genererer et x.509-sertifikat som skal brukes med distribusjonen av hybriddatasikkerhet for flere leietakere.
Forventninger til distribusjon av hybrid datasikkerhet
En distribusjon av hybrid datasikkerhet krever betydelig forpliktelse og bevissthet om risikoene som følger med å eie krypteringsnøkler.
For å distribuere hybrid datasikkerhet må du oppgi:
A secure data center in a country that is a supported location for the Cisco Webex Teams plans.
Utstyret, programvaren og nettverkstilgangen beskrevet i Klargjør miljøet ditt.
Fullstendig tap av enten konfigurasjons-ISO-en du bygger for hybriddatasikkerhet eller databasen du leverer, vil føre til tap av nøklene.Nøkkeltap hindrer brukere i å dekryptere områdeinnhold og andre krypterte data i Webex-appen. Hvis dette skjer, kan du bygge en ny distribusjon, men bare nytt innhold vil være synlig.For å unngå tap av tilgang til data må du:
Administrer sikkerhetskopiering og gjenoppretting av databasen og konfigurasjons-ISO.
Vær forberedt på å utføre rask katastrofegjenoppretting hvis en katastrofe oppstår, for eksempel databasediskfeil eller datasenterkatastrofe.
Det finnes ingen mekanisme for å flytte nøkler tilbake til skyen etter en HDS-distribusjon.
Oppsettsprosess på høyt nivå
Dette dokumentet dekker oppsettet og administrasjonen av en distribusjon av hybriddatasikkerhet for flere leietakere:
Konfigurere hybrid datasikkerhet – dette inkluderer klargjøring av nødvendig infrastruktur og installasjon av hybrid datasikkerhetsprogramvare, bygging av en HDS-klynge, tillegging av leietakerorganisasjoner i klyngen og administrasjon av kundens hovednøkler (CMK-er).Dette vil gjøre det mulig for alle brukere i kundeorganisasjonene dine å bruke den hybride datasikkerhetsklyngen til sikkerhetsfunksjoner.
Installasjons-, aktiverings- og administrasjonsfasene er beskrevet i detalj i de neste tre kapitlene.
Oppretthold distribusjonen av hybrid datasikkerhet – Webex-skyen gir automatisk pågående oppgraderinger.IT-avdelingen din kan gi støtte på nivå én for denne distribusjonen, og engasjere Cisco-støtte etter behov.Du kan bruke varsler på skjermen og konfigurere e-postbaserte varsler i Partner Hub.
Forstå vanlige varsler, feilsøkingstrinn og kjente problemer– Hvis du har problemer med å distribuere eller bruke hybriddatasikkerhet, kan det siste kapitlet i denne veiledningen og vedlegget Kjente problemer hjelpe deg med å finne og løse problemet.
｟_ph_1｠
Distribusjonsmodell for hybrid datasikkerhet
I bedriftens datasenter distribuerer du hybrid datasikkerhet som én klynge med noder på separate virtuelle verter.Nodene kommuniserer med Webex-skyen via sikre websockets og sikre HTTP.
Under installasjonsprosessen gir vi deg OVA-filen for å konfigurere det virtuelle apparatet på VM-ene du leverer.Du bruker HDS-installasjonsverktøyet til å opprette en egendefinert ISO-fil for klyngekonfigurasjon som du monterer på hver node.Den hybride datasikkerhetsklyngen bruker den oppgitte Syslogd-serveren og PostgreSQL- eller Microsoft SQL Server-databasen.(Du konfigurerer Syslogd- og databasetilkoblingsdetaljene i HDS-installasjonsverktøyet.)
Minimum antall noder du kan ha i en klynge, er to.Vi anbefaler minst tre per klynge.Å ha flere noder sikrer at tjenesten ikke avbrytes under en programvareoppgradering eller annen vedlikeholdsaktivitet på en node.(Webex-skyen oppgraderer bare én node om gangen.)
Alle noder i en klynge får tilgang til samme nøkkeldatalager og loggaktivitet til samme syslog-server.Nodene selv er statsløse, og håndterer nøkkelforespørsler på rund-robin-modus, som styres av skyen.
Noder blir aktive når du registrerer dem i Partner Hub.Hvis du vil ta en individuell node ut av drift, kan du avregistrere den og senere registrere den på nytt om nødvendig.
Standby Data Center for katastrofegjenoppretting
Under distribusjonen setter du opp et sikkert standbydatasenter.I tilfelle en datasenterkatastrofe, kan du manuelt mislykkes distribusjonen til standbydatasenteret.
Databasene til de aktive datasentrene og standbydatasentrene er synkronisert med hverandre, noe som vil minimere tiden det tar å utføre failover.
De aktive nodene for hybriddatasikkerhet må alltid være i samme datasenter som den aktive databaseserveren.
Sett opp standbydatasenter for katastrofegjenoppretting
Følg trinnene nedenfor for å konfigurere ISO-filen til standbydatasenteret:
Før du begynner
Standby-datasenteret skal speile produksjonsmiljøet til VM-er og en sikkerhetskopi av PostgreSQL- eller Microsoft SQL Server-databasen.Hvis for eksempel produksjonen har 3 VM-er som kjører HDS-noder, bør sikkerhetskopieringsmiljøet ha 3 VM-er. (See Standby Data Center for Disaster Recovery for an overview of this failover model.)
Sørg for at databasesynkronisering er aktivert mellom databasen med aktive og passive klyngenoder.
| 1 | Start the HDS Setup tool and follow the steps mentioned in Create a Configuration ISO for the HDS Hosts. ISO-filen må være en kopi av den opprinnelige ISO-filen fra det primære datasenteret som følgende konfigurasjonsoppdateringer skal utføres på. |
| 2 | Når du har konfigurert Syslogd-serveren, klikker du på Avanserte innstillinger |
| 3 | På siden Avanserte innstillinger legger du til konfigurasjonen nedenfor for å plassere noden i passiv modus.I denne modusen vil noden bli registrert i organisasjonen og koblet til skyen, men vil ikke håndtere trafikk. |
| 4 | Fullfør konfigurasjonsprosessen og lagre ISO-filen på et sted som er lett å finne. |
| 5 | Ta en sikkerhetskopi av ISO-filen på ditt lokale system.Behold sikkerhetskopien sikker.Denne filen inneholder en hovedkrypteringsnøkkel for databaseinnholdet.Begrens tilgangen til bare de hybriddatasikkerhetsadministratorene som skal foreta konfigurasjonsendringer. |
| 6 | Høyreklikk på VM i venstre navigasjonsrute til VMware vSphere-klienten og klikk på Rediger innstillinger.. |
| 7 | Klikk på Rediger innstillinger > CD/DVD-stasjon1 og velg ISO-fil for datalager. Kontroller at Tilkoblet og Koble til ved påslått er merket av slik at oppdaterte konfigurasjonsendringer kan tre i kraft etter at nodene er startet. |
| 8 | Slå på HDS-noden og sørg for at det ikke er noen alarmer i minst 15 minutter. |
| 9 | Gjenta prosessen for hver node i standbydatasenteret. Kontroller syslogene for å bekrefte at nodene er i passiv modus.Du bør kunne vise meldingen «KMS konfigurert i passiv modus» i syslogs. |
Hva du skal gjøre nå
Etter å ha konfigurert passiveMode i ISO-filen og lagret den, kan du opprette en annen kopi av ISO-filen uten konfigurasjonen passiveMode og lagre den på et sikkert sted.Denne kopien av ISO-filen uten konfigurert passiveMode kan bidra til en rask failover-prosess under katastrofegjenoppretting. See Disaster Recovery using Standby Data Center for the detailed failover procedure.
Proxy-støtte
Hybrid Data Security støtter eksplisitte, gjennomsiktige inspeksjons- og ikke-inspeksjons-proxyer.Du kan knytte disse proxyene til distribusjonen slik at du kan sikre og overvåke trafikk fra bedriften og ut til skyen.Du kan bruke et grensesnitt for plattformadministrasjon på nodene for sertifikatadministrasjon og for å kontrollere den generelle tilkoblingsstatusen etter at du har konfigurert proxyen på nodene.
Nodene for hybriddatasikkerhet støtter følgende proxy-alternativer:
Ingen proxy – Standard hvis du ikke bruker HDS-nodeoppsettet Trust Store & Proxy-konfigurasjonen til å integrere en proxy.Ingen sertifikatoppdatering er nødvendig.
Gjennomsiktig ikke-inspeksjons-proxy – Nodene er ikke konfigurert til å bruke en bestemt proxy-serveradresse og bør ikke kreve endringer for å fungere med en ikke-inspeksjons-proxy.Ingen sertifikatoppdatering er nødvendig.
Gjennomsiktig tunnelering eller inspeksjons-proxy – Nodene er ikke konfigurert til å bruke en bestemt proxy-serveradresse.Ingen endringer i HTTP- eller HTTPS-konfigurasjonen er nødvendig på nodene.Nodene trenger imidlertid et rotsertifikat slik at de stoler på proxyen.Inspeksjons-proxyer brukes vanligvis av IT til å håndheve retningslinjer for hvilke nettsteder som kan besøkes og hvilke typer innhold som ikke er tillatt.Denne typen proxy dekrypterer all trafikken din (til og med HTTPS).
Eksplisitt proxy – Med eksplisitt proxy forteller du HDS-nodene hvilken proxy-server og godkjenningsskjema som skal brukes.Hvis du vil konfigurere en eksplisitt proxy, må du angi følgende informasjon på hver node:
Proxy-IP/FQDN – adresse som kan brukes til å nå proxy-maskinen.
Proxy-port – Et portnummer som proxyen bruker til å lytte etter proxy-trafikk.
Proxy Protocol – Avhengig av hva proxy-serveren støtter, kan du velge mellom følgende protokoller:
HTTP – viser og kontrollerer alle forespørsler som klienten sender.
HTTPS – Gir en kanal til serveren.Klienten mottar og validerer serverens sertifikat.
Godkjenningstype– velg blant følgende godkjenningstyper:
Ingen – ingen ytterligere godkjenning er nødvendig.
Tilgjengelig hvis du velger enten HTTP eller HTTPS som proxy-protokoll.
Grunnleggende – Brukes for en HTTP-brukeragent til å oppgi brukernavn og passord når du foretar en forespørsel.Bruker Base64 koding.
Tilgjengelig hvis du velger enten HTTP eller HTTPS som proxy-protokoll.
Krever at du skriver inn brukernavn og passord for hver node.
Sammendrag – Brukes til å bekrefte kontoen før sensitiv informasjon sendes.Bruker en hash-funksjon på brukernavnet og passordet før det sendes over nettverket.
Bare tilgjengelig hvis du velger HTTPS som proxy-protokoll.
Krever at du skriver inn brukernavn og passord for hver node.
Eksempel på noder og proxy for hybriddatasikkerhet
Dette diagrammet viser en eksempelkobling mellom hybriddatasikkerhet, nettverk og en proxy.For gjennomsiktig inspeksjon og eksplisitt HTTPS-inspeksjons-proxy-alternativer, må det samme rotsertifikatet være installert på proxyen og på nodene for hybriddatasikkerhet.
Blokkert ekstern DNS-oppløsningsmodus (eksplisitte proxy-konfigurasjoner)
Når du registrerer en node eller sjekker nodens proxy-konfigurasjon, tester prosessen DNS-oppslag og tilkobling til Cisco Webex-skyen.I distribusjoner med eksplisitte proxy-konfigurasjoner som ikke tillater ekstern DNS-oppløsning for interne klienter, går den automatisk inn i blokkert ekstern DNS-oppløsning-modus hvis noden ikke kan spørre DNS-serverne.I denne modusen kan noderegistrering og andre proxy-tilkoblingstester fortsette.
Krav til hybriddatasikkerhet for flere leietakere
Krav til Cisco Webex-lisens
Slik distribuerer du hybriddatasikkerhet for flere leietakere:
- Partnerorganisasjoner: Kontakt din Cisco-partner eller kontoadministrator og sørg for at funksjonen for flere leietakere er aktivert.
-
Leietakerorganisasjoner: Du må ha Pro Pack for Cisco Webex Control Hub. (Se https://www.cisco.com/go/pro-pack.)
Krav til Docker-skrivebord
Før du installerer HDS-nodene, trenger du Docker Desktop for å kjøre et installasjonsprogram. Docker oppdaterte nylig sin lisensieringsmodell. Organisasjonen krever kanskje et betalt abonnement for Docker Desktop. Hvis du vil ha mer informasjon, kan du se innlegget til Docker-bloggen " Docker oppdaterer og utvider produktabonnementene våre".
Kunder uten en Docker Desktop-lisens kan bruke et verktøy for håndtering av containere med åpen kildekode som Podman Desktop til å kjøre, administrere og opprette containere. Se Kjør HDS-installasjonsverktøy ved hjelp av Podman Desktop for detaljer.
X.509 Sertifikatkrav
Sertifikatkjeden må oppfylle følgende krav:
|
Krav |
Detaljer |
|---|---|
|
Som standard stoler vi på CA-ene i Mozilla-listen (med unntak av WoSign og StartCom) på https://wiki.mozilla.org/CA:IncludedCA-er. |
|
CN trenger ikke å være tilgjengelig eller en direkte vert. Vi anbefaler at du bruker et navn som gjenspeiler organisasjonen din, for eksempel: CN kan ikke inneholde et * (jokertegn). CN brukes til å bekrefte nodene for hybriddatasikkerhet til Webex-appklienter. Alle nodene for hybriddatasikkerhet i klyngen bruker det samme sertifikatet. KMS identifiserer seg selv ved hjelp av CN-domenet, ikke noe domene som er definert i x.509v3 SAN-feltene. Når du har registrert en node med dette sertifikatet, støtter vi ikke endring av CN-domenenavnet. |
|
KMS-programvaren støtter ikke SHA1 signaturer for validering av tilkoblinger til andre organisasjons KMS-er. |
|
Du kan bruke en konverter som OpenSSL til å endre sertifikatets format. Du må angi passordet når du kjører HDS-installasjonsverktøyet. |
| Bare RSA-sertifikater støttes. |
KMS-programvaren håndhever ikke nøkkelbruk eller utvidede begrensninger for nøkkelbruk. Noen sertifikatmyndigheter krever at utvidede nøkkelbruksbegrensninger brukes på hvert sertifikat, for eksempel servergodkjenning. Det er greit å bruke servergodkjenningen eller andre innstillinger.
Krav til virtuell vert
De virtuelle vertene som du vil konfigurere som Hybrid Data Security-noder i klyngen har følgende krav:
-
Minst to separate verter (3 anbefales) plassert i samme sikre datasenter
-
VMware ESXi 7.0 eller 8.0 installert og kjører.
Du må oppgradere hvis du har en tidligere versjon av ESXi.
-
Minimum 4 vCPU-er, 8-GB hovedminne, 30-GB lokalt harddiskplass per server
Krav til databaseserver
Opprett en ny database for nøkkellagring. Ikke bruk standarddatabasen. HDS-programmene oppretter databaseskjemaet når de er installert.
Det finnes to alternativer for databaseserver. Kravene til hver av dem er som følger:
|
PostgreSql |
Microsoft SQL-server |
|---|---|
|
|
|
Minimum 8 vCPUer, 16-GB hovedminne, tilstrekkelig harddiskplass og overvåking for å sikre at det ikke overskrides (2-TB anbefales hvis du vil kjøre databasen i lang tid uten å måtte øke lagringsplassen) |
Minimum 8 vCPUer, 16-GB hovedminne, tilstrekkelig harddiskplass og overvåking for å sikre at det ikke overskrides (2-TB anbefales hvis du vil kjøre databasen i lang tid uten å måtte øke lagringsplassen) |
HDS-programvaren installerer for øyeblikket følgende driverversjoner for kommunikasjon med databaseserveren:
|
PostgreSql |
Microsoft SQL-server |
|---|---|
|
Postgres JDBC-driver 42.2.5 |
SQL Server JDBC-driver 4.6 Denne driverversjonen støtter SQL Server Always On ( Always On Failover Cluster Instances og Always On Availability Groups). |
Ytterligere krav for Windows-godkjenning mot Microsoft SQL Server
Hvis du vil at HDS-noder skal bruke Windows-godkjenning for å få tilgang til Keystore-databasen på Microsoft SQL Server, trenger du følgende konfigurasjon i miljøet ditt:
-
HDS-nodene, Active Directory-infrastrukturen og MS SQL Server må alle synkroniseres med NTP.
-
Windows-kontoen du oppgir til HDS-noder, må ha lese-/skrivetilgang til databasen.
-
DNS-serverne du leverer til HDS-noder, må kunne løse nøkkeldistribusjonssenteret (KDC).
-
Du kan registrere HDS-databaseforekomsten på Microsoft SQL Server som et tjenestehovednavn (SPN) i Active Directory. Se Registrer et tjenestens hovednavn for Kerberos-tilkoblinger.
HDS-installasjonsverktøyet, HDS-oppstartsprogrammet og lokal KMS må bruke Windows-godkjenning for å få tilgang til nøkkelbutikkdatabasen. De bruker detaljene fra ISO-konfigurasjonen til å konstruere SPN-en når de ber om tilgang med Kerberos-godkjenning.
Krav til ekstern tilkobling
Konfigurer brannmuren slik at den tillater følgende tilkobling for HDS-programmene:
|
Applikasjon |
Protokoll |
Port |
Retning fra appen |
Destinasjon |
|---|---|---|---|---|
|
Noder for hybriddatasikkerhet |
TCP |
443 |
Utgående HTTPS og WSS |
|
|
HDS-oppsettsverktøy |
TCP |
443 |
Utgående HTTPS |
|
Nodene for hybriddatasikkerhet fungerer med oversettelse av nettverkstilgang (NAT) eller bak en brannmur, så lenge NAT eller brannmuren tillater de nødvendige utgående tilkoblingene til domenemålene i tabellen ovenfor. Ingen porter skal være synlige fra Internett for tilkoblinger som går inn til nodene for hybriddatasikkerhet. I datasenteret ditt trenger klienter tilgang til nodene for hybriddatasikkerhet på TCP-portene 443 og 22, av administrative grunner.
URL-adressene for Common Identity (CI)-vertene er områdespesifikke. Dette er de gjeldende CI-vertene:
|
Region |
URL-adresser for Common Identity Host |
|---|---|
|
Nord- og Sør-Amerika |
|
|
Den europeiske union |
|
|
Canada |
|
| Singapore |
|
| Urdu (De forenede arabiske emirater) |
|
Krav til proxy-server
-
Vi støtter offisielt følgende proxy-løsninger som kan integreres med nodene dine for hybriddatasikkerhet.
-
Gjennomsiktig proxy – Cisco Web Security Appliance (WSA).
-
Eksplisitt proxy – Squid.
Squid-proxyer som inspiserer HTTPS-trafikk kan forstyrre opprettelsen av websocket-tilkoblinger (wss:). Hvis du vil omgå dette problemet, kan du se Konfigurere Squid-proxyer for hybriddatasikkerhet.
-
-
Vi støtter følgende kombinasjoner av godkjenningstyper for eksplisitte proxyer:
-
Ingen godkjenning med HTTP eller HTTPS
-
Enkel godkjenning med HTTP eller HTTPS
-
Sammendragsgodkjenning kun med HTTPS
-
-
Hvis du vil ha en gjennomsiktig inspeksjons-proxy eller en eksplisitt HTTPS-proxy, må du ha en kopi av proxyens rotsertifikat. Distribusjonsinstruksjonene i denne håndboken beskriver hvordan du laster opp kopien til klareringslagrene for hybriddatasikkerhetsnoder.
-
Nettverket som er vert for HDS-nodene, må konfigureres til å tvinge utgående TCP-trafikk på port 443 til å rute gjennom proxyen.
-
Proxyer som inspiserer nettrafikk, kan forstyrre WebSocket-tilkoblinger. Hvis dette problemet oppstår, kan du omgå (ikke inspisere) trafikk til
wbx2.comogciscospark.comvil løse problemet.
Fullfør forutsetningene for hybrid datasikkerhet
| 1 |
Sørg for at organisasjonen din ikke har aktivert HDS i Control Hub og får legitimasjonen til en konto med fullstendig partneradministrator og fullstendige administratorrettigheter. Påse at Webex-kundeorganisasjonen er aktivert for Pro Pack for Cisco Webex Control Hub. Kontakt din Cisco-partner eller kontoadministrator for å få hjelp med denne prosessen. Kundeorganisasjoner skal ikke ha noen eksisterende HDS-distribusjon. |
| 2 |
Velg et domenenavn for HDS-distribusjonen (for eksempel |
| 3 |
Klargjør identiske virtuelle verter som du vil konfigurere som Hybrid Data Security-noder i klyngen. Du trenger minst to separate verter (3 anbefales) plassert i samme sikre datasenter, som oppfyller kravene i Krav til virtuelle verter. |
| 4 |
Klargjør databaseserveren som skal fungere som nøkkeldatalager for klyngen, i henhold til kravene til databaseserver. Databaseserveren må være plassert i det sikre datasenteret med de virtuelle vertene. |
| 5 |
For rask katastrofegjenoppretting konfigurerer du et sikkerhetskopieringsmiljø i et annet datasenter. Sikkerhetskopieringsmiljøet gjenspeiler produksjonsmiljøet til VM-er og en sikkerhetskopidatabaseserver. Hvis for eksempel produksjonen har 3 VM-er som kjører HDS-noder, skal sikkerhetskopieringsmiljøet ha 3 VM-er. |
| 6 |
Sett opp en syslog-vert for å samle inn logger fra nodene i klyngen. Samle nettverksadressen og syslog-porten (standard er UDP 514). |
| 7 |
Opprett en sikker sikkerhetskopieringspolicy for nodene for hybriddatasikkerhet, databaseserveren og syslog-verten. For å forhindre ugjenopprettelig tap av data må du som minimum sikkerhetskopiere databasen og konfigurasjonsfilen som genereres for nodene for hybriddatasikkerhet. Fordi nodene for hybriddatasikkerhet lagrer nøklene som brukes til kryptering og dekryptering av innhold, vil manglende vedlikehold av en operativ distribusjon føre til UGJENOPPRETTELIG TAP av dette innholdet. Webex-appklienter bufrer nøklene sine, så det kan hende at et driftsbrudd ikke er umiddelbart merkbart, men vil bli tydelig over tid. Selv om midlertidige avbrudd er umulig å forhindre, kan de gjenopprettes. Fullstendig tap (ingen sikkerhetskopieringer tilgjengelig) av enten databasen eller konfigurasjons-ISO-filen vil imidlertid føre til ugjenopprettbare kundedata. Operatørene av nodene for hybriddatasikkerhet forventes å opprettholde hyppige sikkerhetskopieringer av databasen og konfigurasjons-ISO-filen, og være forberedt på å gjenoppbygge datasenteret for hybriddatasikkerhet hvis det oppstår en katastrofal feil. |
| 8 |
Kontroller at brannmurkonfigurasjonen tillater tilkobling for hybriddatasikkerhetsnodene som beskrevet i Krav til ekstern tilkobling. |
| 9 |
Installer Docker ( https://www.docker.com) på en hvilken som helst lokal maskin som kjører et støttet operativsystem (Microsoft Windows 10 Professional eller Enterprise 64-bit, eller Mac OSX Yosemite 10.10.3 eller nyere) med en nettleser som har tilgang til den på http://127.0.0.1:8080. Du bruker Docker-forekomsten til å laste ned og kjøre HDS-installasjonsverktøyet, som bygger den lokale konfigurasjonsinformasjonen for alle nodene for hybriddatasikkerhet. Du trenger kanskje en Docker Desktop-lisens. Se Krav til docker-skrivebord for mer informasjon. For å installere og kjøre HDS-installasjonsverktøyet må den lokale maskinen ha tilkoblingen beskrevet i Krav til ekstern tilkobling. |
| 10 |
Hvis du integrerer en proxy med hybriddatasikkerhet, må du sørge for at den oppfyller kravene til proxy-server. |
Oppgaveflyt for distribusjon av hybrid datasikkerhet
| 1 |
Utfør første konfigurasjon og last ned installasjonsfiler Last ned OVA-filen til din lokale maskin for senere bruk. |
| 2 |
Opprette en konfigurasjons-ISO for HDS-verter Bruk HDS-installasjonsverktøyet til å opprette en ISO-konfigurasjonsfil for nodene for hybriddatasikkerhet. |
| 3 |
Opprett en virtuell maskin fra OVA-filen og utfør første konfigurasjon, for eksempel nettverksinnstillinger. Alternativet for å konfigurere nettverksinnstillinger under OVA-distribusjon er testet med ESXi 7.0 og 8.0. Alternativet er kanskje ikke tilgjengelig i tidligere versjoner. |
| 4 |
Konfigurere VM for hybriddatasikkerhet Logg på VM-konsollen og angi påloggingslegitimasjonen. Konfigurer nettverksinnstillingene for noden hvis du ikke konfigurerte dem da OVA ble distribuert. |
| 5 |
Laste opp og montere konfigurasjons-ISO for HDS Konfigurer VM fra ISO-konfigurasjonsfilen du opprettet med HDS-installasjonsverktøyet. |
| 6 |
Konfigurere HDS-noden for proxy-integrering Hvis nettverksmiljøet krever proxy-konfigurasjon, angir du hvilken type proxy du vil bruke for noden, og legger til proxy-sertifikatet i klareringslageret om nødvendig. |
| 7 |
Registrer den første noden i klyngen Registrer VM med Cisco Webex-skyen som en hybrid datasikkerhetsnode. |
| 8 |
Opprett og registrer flere noder Fullfør klyngeoppsettet. |
| 9 |
Aktiver HDS for flere leietakere på Partner Hub. Aktiver HDS og administrer leierorganisasjoner på Partner Hub. |
Utfør første konfigurasjon og last ned installasjonsfiler
I denne oppgaven laster du ned en OVA-fil til maskinen din (ikke til serverne du konfigurerer som Hybrid Data Security-noder). Du bruker denne filen senere i installasjonsprosessen.
| 1 |
Logg på Partner Hub, og klikk deretter Services. |
| 2 |
Finn kortet for hybriddatasikkerhet i Hybrid-delen, og klikk deretter på Set up. Å klikke på Konfigurer i Partner Hub er avgjørende for distribusjonsprosessen. Ikke fortsett med installasjonen uten å fullføre dette trinnet. |
| 3 |
Klikk Add a resource og klikk Download .OVA file på Install and Configure Software kort. Eldre versjoner av programvarepakken (OVA) vil ikke være kompatible med de nyeste oppgraderingene for hybriddatasikkerhet. Dette kan føre til problemer under oppgradering av programmet. Sørg for at du laster ned den nyeste versjonen av OVA-filen. Du kan også laste ned OVA når som helst fra Help delen. Klikk . OVA-filen begynner automatisk å lastes ned. Lagre filen på en plassering på maskinen.
|
Opprette en konfigurasjons-ISO for HDS-verter
Installasjonsprosessen for hybriddatasikkerhet oppretter en ISO-fil. Deretter bruker du ISO til å konfigurere verten for hybriddatasikkerhet.
Før du starter
-
Installasjonsverktøyet for HDS kjører som en Docker-beholder på en lokal maskin. For å få tilgang til den, kjør Docker på den maskinen. Installasjonsprosessen krever legitimasjonen til en Partner Hub-konto med fulle administratorrettigheter.
Hvis du ikke har en Docker Desktop-lisens, kan du bruke Podman Desktop til å kjøre HDS-installasjonsverktøyet i trinn 1 til 5 i fremgangsmåten nedenfor. Se Kjør HDS-installasjonsverktøy ved hjelp av Podman Desktop for detaljer.
Hvis HDS-installasjonsverktøyet kjører bak en proxy i miljøet ditt, må du oppgi proxy-innstillingene (server, port, legitimasjon) gjennom Docker-miljøvariablene når du tar opp Docker-beholderen i trinn 5 nedenfor. Denne tabellen gir noen mulige miljøvariabler:
Beskrivelse
Variabel
HTTP Proxy uten autentisering
GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORTHTTPS Proxy uten autentisering
GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORTHTTP Proxy med autentisering
GLOBAL_AGENT_HTTP_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORTHTTPS Proxy med autentisering
GLOBAL_AGENT_HTTPS_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT -
ISO-konfigurasjonsfilen du genererer, inneholder hovednøkkelen som krypterer PostgreSQL- eller Microsoft SQL Server-databasen. Du trenger den nyeste kopien av denne filen hver gang du gjør konfigurasjonsendringer, for eksempel disse:
-
Databaselegitimasjon
-
Sertifikatoppdateringer
-
Endringer i godkjenningspolicyen
-
-
Hvis du planlegger å kryptere databasetilkoblinger, konfigurerer du distribusjonen av PostgreSQL eller SQL Server for TLS.
| 1 |
På maskinens kommandolinje skriver du inn riktig kommando for miljøet ditt: I vanlige miljøer: I FedRAMP-miljøer: Dette trinnet rydder opp tidligere HDS-oppsettsverktøybilder. Hvis det ikke er noen tidligere bilder, returnerer det en feil som du kan ignorere. | ||||||||||
| 2 |
For å logge på Docker-bilderegisteret, skriv inn følgende: | ||||||||||
| 3 |
Ved passordspørsmålet skriver du inn denne hashen: | ||||||||||
| 4 |
Last ned det siste stabile bildet for ditt miljø: I vanlige miljøer: I FedRAMP-miljøer: | ||||||||||
| 5 |
Når trekket er fullført, skriv inn riktig kommando for miljøet ditt:
Når containeren kjører, ser du "Express server lytter på port 8080". | ||||||||||
| 6 |
Installasjonsverktøyet støtter ikke tilkobling til localhost via http://localhost:8080. Bruk http://127.0.0.1:8080 for å koble til localhost. Bruk en nettleser til å gå til localhost, Verktøyet bruker denne første oppføringen av brukernavnet til å angi riktig miljø for kontoen. Verktøyet viser deretter standard påloggingsmelding. | ||||||||||
| 7 |
Når du blir bedt om det, skriver du inn påloggingslegitimasjonen for Partner Hub-administrator, og klikker deretter på Log in for å gi tilgang til de nødvendige tjenestene for hybrid datasikkerhet. | ||||||||||
| 8 |
På oversiktssiden for oppsettsverktøyet klikker du på Get Started. | ||||||||||
| 9 |
På ISO Import siden, har du disse alternativene:
| ||||||||||
| 10 |
Kontroller at X.509-sertifikatet oppfyller kravene i X.509 Sertifikatkrav.
| ||||||||||
| 11 |
Skriv inn databaseadressen og kontoen for HDS for å få tilgang til nøkkeldatalageret: | ||||||||||
| 12 |
Velg en TLS Database Connection Mode:
Når du laster opp rotsertifikatet (om nødvendig) og klikker på Fortsett, tester HDS-installasjonsverktøyet TLS-tilkoblingen til databaseserveren. Verktøyet kontrollerer også sertifikatskriveren og vertsnavnet, hvis det er aktuelt. Hvis en test mislykkes, viser verktøyet en feilmelding som beskriver problemet. Du kan velge om du vil ignorere feilen og fortsette installasjonen. (På grunn av tilkoblingsforskjeller kan HDS-nodene være i stand til å etablere TLS-tilkoblingen selv om HDS-installasjonsverktøyet ikke kan teste den.) | ||||||||||
| 13 |
På siden Systemlogger konfigurerer du Syslogd-serveren: | ||||||||||
| 14 |
(Valgfritt) Du kan endre standardverdien for noen parametere for databasetilkobling i Advanced Settings. Generelt er denne parameteren den eneste du kanskje vil endre: | ||||||||||
| 15 |
Klikk Continue på Reset Service Accounts Password . Passord for tjenestekontoen har en levetid på ni måneder. Bruk dette skjermbildet når passordene nærmer seg utløpsdatoen, eller du vil tilbakestille dem til å ugyldiggjøre tidligere ISO-filer. | ||||||||||
| 16 |
Klikk Download ISO File. Lagre filen på et sted som er lett å finne. | ||||||||||
| 17 |
Ta en sikkerhetskopi av ISO-filen på ditt lokale system. Behold sikkerhetskopien sikker. Denne filen inneholder en hovedkrypteringsnøkkel for databaseinnholdet. Begrens tilgangen til bare de hybriddatasikkerhetsadministratorene som skal foreta konfigurasjonsendringer. | ||||||||||
| 18 |
Hvis du vil avslutte konfigureringsverktøyet, skriver du inn |
Hva nå?
Sikkerhetskopier ISO-konfigurasjonsfilen. Du trenger den for å opprette flere noder for gjenoppretting, eller for å gjøre konfigurasjonsendringer. Hvis du mister alle kopier av ISO-filen, har du også mistet hovednøkkelen. Det er ikke mulig å gjenopprette nøklene fra PostgreSQL- eller Microsoft SQL Server-databasen.
Vi har aldri en kopi av denne nøkkelen og kan ikke hjelpe hvis du mister den.
Installere HDS Host OVA
| 1 |
Bruk VMware vSphere-klienten på datamaskinen for å logge på den virtuelle ESXi-verten. |
| 2 |
Velg File > Deploy OVF Template. |
| 3 |
Angi plasseringen til OVA-filen du lastet ned tidligere i veiviseren, og klikk deretter på Next. |
| 4 |
På Select a name and folder side, skriv inn en Virtual machine name for noden (for eksempel "HDS_Node_1"), velg et sted der distribusjonen av den virtuelle maskinnoden kan ligge, og klikk deretter på Next. |
| 5 |
På Select a compute resource side, velg destinasjonens dataressurs, og klikk deretter på Next. En valideringskontroll kjører. Når den er ferdig, vises maldetaljene. |
| 6 |
Bekreft maldetaljene, og klikk deretter på Next. |
| 7 |
Hvis du blir bedt om å velge ressurskonfigurasjonen på Configuration side, klikk 4 CPU og klikk deretter på Next. |
| 8 |
På Select storage side, klikk Next for å godta standard diskformat og retningslinjer for lagring av VM. |
| 9 |
På Select networks på siden velger du nettverksalternativet fra listen over oppføringer for å gi ønsket tilkobling til VM. |
| 10 |
På Customize template konfigurer følgende nettverksinnstillinger:
Hvis du foretrekker det, kan du hoppe over konfigurasjonen av nettverksinnstillingene og følge trinnene i Konfigurere VM for hybriddatasikkerhet for å konfigurere innstillingene fra nodekonsollen. Alternativet for å konfigurere nettverksinnstillinger under OVA-distribusjon er testet med ESXi 7.0 og 8.0. Alternativet er kanskje ikke tilgjengelig i tidligere versjoner. |
| 11 |
Høyreklikk på noden VM, og velg deretter . Programvaren for hybrid datasikkerhet installeres som gjest på VM-verten. Du er nå klar til å logge på konsollen og konfigurere noden. Feilsøkingstips Du kan oppleve en forsinkelse på noen minutter før nodebeholderne kommer opp. Det vises en brobrannmurmelding på konsollen under første oppstart, hvor du ikke kan logge på. |
Konfigurere VM for hybriddatasikkerhet
Bruk denne fremgangsmåten til å logge på VM-konsollen for hybriddatasikkerhetsnoden for første gang og angi påloggingslegitimasjonen. Du kan også bruke konsollen til å konfigurere nettverksinnstillingene for noden hvis du ikke konfigurerte dem da OVA ble distribuert.
| 1 |
I VMware vSphere-klienten velger du din hybride datasikkerhetsnode VM og velger Console kategorien. VM starter opp og en melding om pålogging vises. Hvis meldingen om pålogging ikke vises, trykk på Enter.
|
| 2 |
Bruk følgende standard pålogging og passord for å logge på og endre legitimasjonen: Siden du logger på VM for første gang, må du endre administratorpassordet. |
| 3 |
Hvis du allerede har konfigurert nettverksinnstillingene i Installer HDS Host OVA, hopper du over resten av denne prosedyren. Hvis ikke, velger du i hovedmenyen Edit Configuration opsjon. |
| 4 |
Konfigurer en statisk konfigurasjon med IP-adresse, maske, gateway og DNS-informasjon. Noden din skal ha en intern IP-adresse og et DNS-navn. DHCP støttes ikke. |
| 5 |
(Valgfritt) Endre vertsnavnet, domenet eller NTP-serveren(e) om nødvendig for å samsvare med nettverkspolicyen. Du trenger ikke å angi domenet til å samsvare med domenet du brukte til å skaffe X.509-sertifikatet. |
| 6 |
Lagre nettverkskonfigurasjonen og start VM på nytt slik at endringene trer i kraft. |
Laste opp og montere konfigurasjons-ISO for HDS
Før du starter
Fordi ISO-filen har hovednøkkelen, bør den bare utvises på "trenger å vite"-basis, for tilgang av virtuelle maskiner for hybriddatasikkerhet og eventuelle administratorer som trenger å gjøre endringer. Sørg for at bare disse administratorene har tilgang til datalageret.
| 1 |
Last opp ISO-filen fra datamaskinen: |
| 2 |
Montere ISO-fil: |
Hva nå?
Hvis IT-policyen krever det, kan du eventuelt avmontere ISO-filen etter at alle nodene har plukket opp konfigurasjonsendringene. Se (Valgfritt) Fjern ISO etter HDS-konfigurasjon for detaljer.
Konfigurere HDS-noden for proxy-integrasjon
Hvis nettverksmiljøet krever en proxy, bruker du denne fremgangsmåten til å angi hvilken type proxy du vil integrere med hybrid datasikkerhet. Hvis du velger en gjennomsiktig inspeksjonsproxy eller en eksplisitt HTTPS-proxy, kan du bruke nodens grensesnitt til å laste opp og installere rotsertifikatet. Du kan også sjekke proxy-tilkoblingen fra grensesnittet og feilsøke eventuelle problemer.
Før du starter
-
Se Proxy-støtte for en oversikt over proxy-alternativene som støttes.
| 1 |
Angi URL for oppsett av HDS-noden |
| 2 |
Gå til Trust Store & Proxy, og velg deretter et alternativ:
Følg de neste trinnene for en gjennomsiktig inspeksjons-proxy, en HTTP-eksplisitt proxy med enkel godkjenning eller en eksplisitt HTTPS-proxy. |
| 3 |
Klikk Upload a Root Certificate or End Entity Certificate, og deretter navigere til et velg rotsertifikatet for proxyen. Sertifikatet er lastet opp, men er ennå ikke installert fordi du må starte noden på nytt for å installere sertifikatet. Klikk på chevron-pilen ved navnet på sertifikatutstederen for å få mer informasjon, eller klikk på Delete hvis du har gjort en feil og vil laste opp filen på nytt. |
| 4 |
Klikk Check Proxy Connection for å teste nettverkstilkoblingen mellom noden og proxyen. Hvis tilkoblingstesten mislykkes, ser du en feilmelding som viser årsaken og hvordan du kan løse problemet. Hvis du får en melding om at den eksterne DNS-oppløsningen ikke var vellykket, kunne ikke noden nå DNS-serveren. Denne betingelsen forventes i mange eksplisitte proxy-konfigurasjoner. Du kan fortsette med oppsettet, og noden vil fungere i modus for blokkert ekstern DNS-oppløsning. Hvis du tror dette er en feil, fullfører du disse trinnene og ser Slå av blokkert ekstern DNS-oppløsningsmodus. |
| 5 |
Etter at tilkoblingstesten er bestått, bare for eksplisitt proxy satt til https, slår du bryteren på Route all port 443/444 https requests from this node through the explicit proxy. Denne innstillingen tar 15 sekunder før den trer i kraft. |
| 6 |
Klikk Install All Certificates Into the Trust Store (vises for en eksplisitt HTTPS-proxy eller en gjennomsiktig inspeksjons-proxy) eller Reboot (vises for en eksplisitt HTTP-proxy), les ledeteksten og klikk deretter på Install hvis du er klar. Noden starter på nytt i løpet av noen få minutter. |
| 7 |
Etter at noden har startet på nytt, logger du på igjen om nødvendig, og åpner deretter Overview siden for å sjekke tilkoblingskontrollene for å sikre at alle er i grønn status. Proxy-tilkoblingskontrollen tester bare et underdomene av webex.com. Hvis det oppstår tilkoblingsproblemer, er et vanlig problem at noen av skydomenene som er oppført i installasjonsinstruksjonene, blokkeres ved proxyen. |
Registrer den første noden i klyngen
Når du registrerer din første node, oppretter du en klynge som noden er tilordnet til. En klynge inneholder én eller flere noder som er distribuert for å gi redundans.
Før du starter
-
Når du begynner å registrere en node, må du fullføre den innen 60 minutter, eller du må starte på nytt.
-
Sørg for at eventuelle popup-blokkere i nettleseren er deaktivert eller at du tillater et unntak for admin.webex.com.
| 1 |
Logg på https://admin.webex.com. |
| 2 |
Fra menyen til venstre på skjermen velger du Services. |
| 3 |
I hybriddelen finner du hybriddatasikkerhetskortet og klikker på Set up. |
| 4 |
På siden som åpnes, klikk på Add a resource. |
| 5 |
I det første feltet av Create a new cluster kort, skriv inn et navn på klyngen du vil tilordne din hybride datasikkerhetsnode til. Vi anbefaler at du navngir en klynge basert på hvor nodene i klyngen befinner seg geografisk. Eksempler: "San Francisco" eller "New York" eller "Dallas" |
| 6 |
I det andre feltet skriver du inn den interne IP-adressen eller det fullstendige domenenavnet (FQDN) til noden og klikker på Add nederst på skjermen. Denne IP-adressen eller FQDN skal samsvare med IP-adressen eller vertsnavnet og domenet du brukte i Konfigurer VM for hybrid datasikkerhet. Det vises en melding som angir at du kan registrere noden din til Webex.
|
| 7 |
Klikk Go to Node. Etter et øyeblikk blir du omdirigert til nodetilkoblingstestene for Webex-tjenester. Hvis alle testene er vellykkede, vises siden Gi tilgang til hybrid datasikkerhetsnode. Der bekrefter du at du vil gi tillatelse til Webex-organisasjonen din for å få tilgang til noden din. |
| 8 |
Sjekk Allow Access to Your Hybrid Data Security Node avmerkingsboks, og klikk deretter på Continue. Kontoen din er validert, og meldingen «Registreringen er fullført» indikerer at noden din nå er registrert i Webex-skyen.
|
| 9 |
Klikk på koblingen eller lukk fanen for å gå tilbake til Partner Hub Hybrid Data Security-siden. På Hybrid Data Security siden, vises den nye klyngen som inneholder noden du registrerte, under Resources kategorien. Noden vil automatisk laste ned den nyeste programvaren fra skyen.
|
Opprett og registrer flere noder
Før du starter
-
Når du begynner å registrere en node, må du fullføre den innen 60 minutter, eller du må starte på nytt.
-
Sørg for at eventuelle popup-blokkere i nettleseren er deaktivert eller at du tillater et unntak for admin.webex.com.
| 1 |
Opprett en ny virtuell maskin fra OVA, og gjenta trinnene i Installer HDS Host OVA. |
| 2 |
Konfigurer den første konfigurasjonen på den nye VM-en, og gjenta trinnene i Konfigurer VM for hybrid datasikkerhet. |
| 3 |
På den nye VM-en gjentar du trinnene i Last opp og monter HDS-konfigurasjons-ISO. |
| 4 |
Hvis du konfigurerer en proxy for distribusjonen, gjentar du trinnene i Konfigurer HDS-noden for proxy-integrering etter behov for den nye noden. |
| 5 |
Registrer noden. |
Hva nå?
Aktivere HDS for flere leietakere på Partner Hub
Denne oppgaven sikrer at alle brukere av kundeorganisasjonene kan begynne å bruke HDS for lokale krypteringsnøkler og andre sikkerhetstjenester.
Før du starter
Sørg for at du har fullført konfigureringen av HDS-klyngen for flere leietakere med det nødvendige antallet noder.
| 1 |
Logg på https://admin.webex.com. |
| 2 |
Fra menyen til venstre på skjermen velger du Services. |
| 3 |
I hybriddelen finner du hybriddatasikkerhet og klikker på Edit Settings. |
| 4 |
Klikk Activate HDS på HDS Status kort. |
Legg til leietakerorganisasjoner i Partner Hub
I denne oppgaven tilordner du kundeorganisasjoner til din hybride datasikkerhetsklynge.
| 1 |
Logg på https://admin.webex.com. |
| 2 |
Fra menyen til venstre på skjermen velger du Services. |
| 3 |
I hybriddelen finner du hybriddatasikkerhet og klikker på View all. |
| 4 |
Gå til Assigned customers kategorien. Filen Assigned customers fanen vises ikke før du oppretter en klynge. |
| 5 |
Klikk Add customers. |
| 6 |
Velg kunden du vil legge til, fra rullegardinmenyen. |
| 7 |
Klikk Addvil kunden bli lagt til i klyngen. |
| 8 |
Gjenta trinn 5 til 7 for å legge til flere kunder i klyngen. |
| 9 |
Klikk Done nederst på skjermen når du har lagt til kundene. Kunder som er lagt til, vil bli synkronisert på tvers av alle tilgjengelige klynger. |
Hva nå?
Opprett kundens hovednøkler (CMK-er) ved hjelp av HDS-installasjonsverktøyet
Før du starter
Tilordne kunder som beskrevet i Legg til leietakerorganisasjoner i Partner Hub. Kjør HDS-installasjonsverktøyet for å fullføre installasjonsprosessen for de nylig tillagte kundeorganisasjonene.
-
Installasjonsverktøyet for HDS kjører som en Docker-beholder på en lokal maskin. For å få tilgang til den, kjør Docker på den maskinen. Installasjonsprosessen krever legitimasjon for en Partner Hub-konto med fulle administratorrettigheter for organisasjonen din.
Hvis HDS-installasjonsverktøyet kjører bak en proxy i miljøet ditt, må du oppgi proxy-innstillingene (server, port, legitimasjon) gjennom Docker-miljøvariablene når du tar opp Docker-beholderen i trinn 5. Denne tabellen gir noen mulige miljøvariabler:
Beskrivelse
Variabel
HTTP Proxy uten autentisering
GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORTHTTPS Proxy uten autentisering
GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORTHTTP Proxy med autentisering
GLOBAL_AGENT_HTTP_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORTHTTPS Proxy med autentisering
GLOBAL_AGENT_HTTPS_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT -
ISO-konfigurasjonsfilen du genererer, inneholder hovednøkkelen som krypterer PostgreSQL- eller Microsoft SQL Server-databasen. Du trenger den nyeste kopien av denne filen hver gang du gjør konfigurasjonsendringer, for eksempel disse:
-
Databaselegitimasjon
-
Sertifikatoppdateringer
-
Endringer i godkjenningspolicyen
-
-
Hvis du planlegger å kryptere databasetilkoblinger, konfigurerer du distribusjonen av PostgreSQL eller SQL Server for TLS.
Installasjonsprosessen for hybriddatasikkerhet oppretter en ISO-fil. Deretter bruker du ISO til å konfigurere verten for hybriddatasikkerhet.
| 1 |
På maskinens kommandolinje skriver du inn riktig kommando for miljøet ditt: I vanlige miljøer: I FedRAMP-miljøer: Dette trinnet rydder opp tidligere HDS-oppsettsverktøybilder. Hvis det ikke er noen tidligere bilder, returnerer det en feil som du kan ignorere. |
| 2 |
For å logge på Docker-bilderegisteret, skriv inn følgende: |
| 3 |
Ved passordspørsmålet skriver du inn denne hashen: |
| 4 |
Last ned det siste stabile bildet for ditt miljø: I vanlige miljøer: I FedRAMP-miljøer: |
| 5 |
Når trekket er fullført, skriv inn riktig kommando for miljøet ditt:
Når containeren kjører, ser du "Express server lytter på port 8080". |
| 6 |
Installasjonsverktøyet støtter ikke tilkobling til localhost via http://localhost:8080. Bruk http://127.0.0.1:8080 for å koble til localhost. Bruk en nettleser til å gå til localhost, Verktøyet bruker denne første oppføringen av brukernavnet til å angi riktig miljø for kontoen. Verktøyet viser deretter standard påloggingsmelding. |
| 7 |
Når du blir bedt om det, skriver du inn påloggingslegitimasjonen for Partner Hub-administrator, og klikker deretter på Log in for å gi tilgang til de nødvendige tjenestene for hybrid datasikkerhet. |
| 8 |
På oversiktssiden for oppsettsverktøyet klikker du på Get Started. |
| 9 |
På ISO Import side, klikk Yes. |
| 10 |
Velg ISO-filen i nettleseren og last den opp. Sørg for tilkobling til databasen din for å utføre CMK-administrasjon. |
| 11 |
Gå til Tenant CMK Management fanen, der du finner følgende tre måter å administrere leietakers CMK-er på.
|
| 12 |
Når CMK er opprettet, endres statusen i tabellen fra CMK-administrasjon venter til CMK-administrert. |
| 13 |
Hvis opprettelsen av CMK mislykkes, vises en feilmelding. |
Fjern leietakerorganisasjoner
Før du starter
Når de er fjernet, vil ikke brukere av kundeorganisasjoner kunne utnytte HDS for sine krypteringsbehov og vil miste alle eksisterende områder. Før du fjerner kundeorganisasjoner, må du kontakte din Cisco-partner eller kontoadministrator.
| 1 |
Logg på https://admin.webex.com. |
| 2 |
Fra menyen til venstre på skjermen velger du Services. |
| 3 |
I hybriddelen finner du hybriddatasikkerhet og klikker på View all. |
| 4 |
På siden som åpnes, klikk på Assigned Customers kategorien. |
| 5 |
Fra listen over kundeorganisasjoner som vises, klikk på |
Hva nå?
Fullfør fjerningsprosessen ved å tilbakekalle kundeorganisasjonens CMK-er, som beskrevet i Tilbakekalle CMK-er for leiere som er fjernet fra HDS.
Tilbakekall CMK-er for leiere som er fjernet fra HDS.
Før du starter
Fjern kunder som beskrevet i Fjern leietakerorganisasjoner. Kjør HDS-installasjonsverktøyet for å fullføre fjerningsprosessen for kundeorganisasjonene som ble fjernet.
-
Installasjonsverktøyet for HDS kjører som en Docker-beholder på en lokal maskin. For å få tilgang til den, kjør Docker på den maskinen. Installasjonsprosessen krever legitimasjon for en Partner Hub-konto med fulle administratorrettigheter for organisasjonen din.
Hvis HDS-installasjonsverktøyet kjører bak en proxy i miljøet ditt, må du oppgi proxy-innstillingene (server, port, legitimasjon) gjennom Docker-miljøvariablene når du tar opp Docker-beholderen i trinn 5. Denne tabellen gir noen mulige miljøvariabler:
Beskrivelse
Variabel
HTTP Proxy uten autentisering
GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORTHTTPS Proxy uten autentisering
GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORTHTTP Proxy med autentisering
GLOBAL_AGENT_HTTP_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORTHTTPS Proxy med autentisering
GLOBAL_AGENT_HTTPS_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT -
ISO-konfigurasjonsfilen du genererer, inneholder hovednøkkelen som krypterer PostgreSQL- eller Microsoft SQL Server-databasen. Du trenger den nyeste kopien av denne filen hver gang du gjør konfigurasjonsendringer, for eksempel disse:
-
Databaselegitimasjon
-
Sertifikatoppdateringer
-
Endringer i godkjenningspolicyen
-
-
Hvis du planlegger å kryptere databasetilkoblinger, konfigurerer du distribusjonen av PostgreSQL eller SQL Server for TLS.
Installasjonsprosessen for hybriddatasikkerhet oppretter en ISO-fil. Deretter bruker du ISO til å konfigurere verten for hybriddatasikkerhet.
| 1 |
På maskinens kommandolinje skriver du inn riktig kommando for miljøet ditt: I vanlige miljøer: I FedRAMP-miljøer: Dette trinnet rydder opp tidligere HDS-oppsettsverktøybilder. Hvis det ikke er noen tidligere bilder, returnerer det en feil som du kan ignorere. |
| 2 |
For å logge på Docker-bilderegisteret, skriv inn følgende: |
| 3 |
Ved passordspørsmålet skriver du inn denne hashen: |
| 4 |
Last ned det siste stabile bildet for ditt miljø: I vanlige miljøer: I FedRAMP-miljøer: |
| 5 |
Når trekket er fullført, skriv inn riktig kommando for miljøet ditt:
Når containeren kjører, ser du "Express server lytter på port 8080". |
| 6 |
Installasjonsverktøyet støtter ikke tilkobling til localhost via http://localhost:8080. Bruk http://127.0.0.1:8080 for å koble til localhost. Bruk en nettleser til å gå til localhost, Verktøyet bruker denne første oppføringen av brukernavnet til å angi riktig miljø for kontoen. Verktøyet viser deretter standard påloggingsmelding. |
| 7 |
Når du blir bedt om det, skriver du inn påloggingslegitimasjonen for Partner Hub-administrator, og klikker deretter på Log in for å gi tilgang til de nødvendige tjenestene for hybrid datasikkerhet. |
| 8 |
På oversiktssiden for oppsettsverktøyet klikker du på Get Started. |
| 9 |
På ISO Import side, klikk Yes. |
| 10 |
Velg ISO-filen i nettleseren og last den opp. |
| 11 |
Gå til Tenant CMK Management fanen, der du finner følgende tre måter å administrere leietakers CMK-er på.
|
| 12 |
Når CMK-opphevelse er fullført, vises ikke kundeorganisasjonen lenger i tabellen. |
| 13 |
Hvis CMK-tilbakekalling mislykkes, vises en feil. |
Test distribusjonen av hybrid datasikkerhet
Før du starter
-
Konfigurer distribusjonen av hybriddatasikkerhet for flere leietakere.
-
Sørg for at du har tilgang til syslog for å bekrefte at viktige forespørsler sendes til din distribusjon av hybriddatasikkerhet for flere leietakere.
| 1 |
Nøkler for et gitt område angis av skaperen av området. Logg på Webex-appen som en av brukerne av kundeorganisasjonen, og opprett deretter et område. Hvis du deaktiverer distribusjonen av hybrid datasikkerhet, er ikke innhold i områder som brukere oppretter, lenger tilgjengelig når de klientbufrede kopiene av krypteringsnøklene er erstattet. |
| 2 |
Send meldinger til det nye området. |
| 3 |
Kontroller syslog-utdataene for å bekrefte at nøkkelforespørslene sendes til distribusjonen av hybriddatasikkerhet. Hvis en bruker av en kundeorganisasjon som nylig er lagt til, utfører en handling, vises organisasjonens organisasjons-ID i loggene, og dette kan brukes til å bekrefte at organisasjonen bruker HDS for flere leietakere. Kontroller verdien av |
Tolking av HDS-logger og forståelse av agentetiketter
HDS-logger gir detaljert informasjon om KMS-forespørsler. Disse loggene inneholder ulike felt som bidrar til å identifisere typen forespørsel og den tilhørende identiteten. Forståelse av disse feltene er avgjørende for riktig tolkning av aktiviteter og klarerte interne operasjoner.
Terminologi
For å sikre klarhet når du går gjennom HDS-logger, er det viktig å forstå følgende begreper:
| Term | Definisjon |
|---|---|
| Tjenestekonto | En tjenesteidentitet som gjør det mulig for Webex-tjenester å utføre autoriserte handlinger på en sikker måte. |
| Agent | En tjenesteenhet eller tjenestekontoidentitet som brukes til å utføre automatiserte operasjoner i HDS-miljøet. |
| Agentetikett | En kode inkludert i HDS-logger som identifiserer den spesifikke kilden og typen for en innkommende forespørsel, noe som muliggjør effektiv overvåking av tilgangskontroll. |
| Delegert tilgang | En autorisert tjenestekonto som gjør en forespørsel for en bestemt bruker, innenfor denne brukerens tillatelser. Vises som en delegeringsforespørsel: agent -> userid. |
Begrepet "agent" refererer i denne sammenhengen spesifikt til HDS-tjenesteidentiteter. Disse er ikke relatert til de AI-drevne agentene som brukes i andre Webex-funksjoner.
En forespørsel sendes til kun når den kommer fra:
- en godkjent bruker i organisasjonen din, eller
- en tjenestekonto som befinner seg i og er autorisert av organisasjonen din.
Oversikt over loggfelt
| Felt | Hva det representerer |
|---|---|
| Tidsstempel | dato og klokkeslett for operasjonen. |
| kms.data.method | KMS-operasjonen utført (f.eks. hente). |
| kms.data.orgld | Organisasjonsidentifikator. |
| kms.data.httpUserAgent | Kunden eller tjenesten som foretar forespørselen. |
| WEBEX_TRACKINGID | Unik sporingsidentifikator for forespørselen. |
| kms.data.uriHost / kms.data.uri | Verten og ressursen som forespørselen er rettet mot. |
| kms.data.userld | Identiteten som utfører forespørselen, inkludert en agentetikett. |
| kms.response.success | Angir om forespørselen var vellykket. |
Forespørselstyper - Hurtigreferanse
| Logg inn | Agentetikett | Hva det representerer | Typiske operasjoner |
|---|---|---|---|
| Brukertype: userAgent | Brukeragent | En klarert tjenestekonto knyttet til en brukerarbeidsflyt, rettet til organisasjonen din. | Opprette/administrere nøkler for en brukerprosess. |
| o-agent <id> -> bruker-id <id> | Organisasjonsagent | En klarert tjenestekonto på organisasjonsnivå som bruker delegert tilgang. | Samsvarsansvarlig utvinning av Webex-data, kalenderintegreringer. |
| c-agent <id> -> bruker-id <id> | Skyagent | En Webex-tjeneste som utfører en delegert forespørsel for en bestemt bruker. | Virusscanning, innholdsforhåndsvisning, utskrifter. |
| c-agent <id> | Skyagent | En Webex-tjeneste som utfører en delegert forespørsel. | ECDHE / økttaster. |
| UUID for sluttbruker | – | Den godkjente sluttbrukeren som samhandler med HDS. | En bruker som henter sin egen nøkkel. |
Forespørselstyper - I detalj
Agentetiketter kategoriserer kilden til forespørselen og hjelper deg med å bestemme de riktige tilgangskontrollene. Følgende eksempler viser flere forespørselstyper og agentetikettene som er knyttet til dem.
-
Brukeragent (userAgent):
Dette er klarerte Webex-tjenestekontoer knyttet til bestemte brukerarbeidsflyter og er rettet til kundeorganisasjonen. De brukes vanligvis når en tjeneste oppretter og administrerer nøkler på vegne av en brukerarbeidsflyt.
Eksempellogg:
2026-06-18 10:58:14.405 (+0000) INFO KMS [pool-21-thread-110] - User: b[~]4 User Type: userAgent WEBEX_TRACKINGID=MsftPresence_6[~]9, kms.data.method=create, kms.merc.id=5[~]8, kms.merc.sync=false, kms.data.uriHost=null, kms.data.type=RESOURCE_COLLECTION, kms.data.requestId=b[~]4, kms.data.orgId=null, kms.data.uri=/resources, kms.data.userId=3[~]6, kms.data.httpUserAgent=<Webex service>Nøkkelindikator: Eksempelloggen viser en brukeragent (
userAgent) utføre ressursoppsamlingsoperasjoner for en Webex-tjeneste. -
Organisasjonsagent (o-agent):
Disse klarerte Webex-tjenestekontoene er autorisert til å utføre delegerte operasjoner på vegne av brukere i HDS. Disse kontoene er rettet mot kundeorganisasjonen og utfører operasjoner på organisasjonsnivå. Denne funksjonaliteten støtter flere funksjoner, for eksempel å gjøre det mulig for samsvarsansvarlige å søke etter og trekke ut Webex-kommunikasjonsdata – slik at organisasjonen samsvarer med forskriftsmessige, sikkerhets- og personvernstandarder.
Eksempellogg:
2026-06-18 11:24:53.034 (+0000) INFO KMS [pool-19-thread-118] - WEBEX_TRACKINGID=ccc_8[~]c, kms.data.method=retrieve, kms.merc.id=2[~]a, kms.merc.sync=false, kms.data.uriHost=hds2.org5.portun.us, kms.data.type=KEY, kms.data.requestId=1[~]2, kms.data.orgId=null, kms.data.uri=kms://hds2.org5.portun.us/keys/d[~]7, kms.data.userId=o-agent 9[~]c -> userid 4[~]b, kms.data.httpUserAgent=<Webex service>Nøkkelindikator: Eksempelloggen viser en organisasjonsagent (
o-agent 9[~]c) hente en nøkkel på vegne av brukeren (4[~]b) for en Webex-tjeneste. - Skyagent (c-agent):
Disse klarerte Webex-tjenestekontoene er autorisert til å utføre operasjoner på HDS via delegert tilgang på vegne av en bruker. De støtter viktige funksjoner – som opptak etter møtet, utskrifter, skanning mot skadelig programvare og forhåndsvisninger av filer som forbedrer brukeropplevelsen generelt.
Selv om skyagenter kan deaktiveres ved å endre ISO, bør kundene være klar over at dette vil føre til tap av funksjonalitet, for eksempel opptak etter møtet, utskrifter, forhåndsvisninger av filer og automatisert skanning av skadelig programvare i Webex-appområder. Hvis du vil ha mer informasjon, se delen Deaktiver skyagenter.
Eksempellogg:
2026-06-18 11:27:59.388 (+0000) INFO KMS [pool-19-thread-56] - WEBEX_TRACKINGID=CLIENT_2[~]e, kms.data.method=retrieve, kms.merc.id=b[~]c, kms.merc.sync=false, kms.data.uriHost=hds2.org5.portun.us, kms.data.type=KEY, kms.data.requestId=0[~]6, kms.data.orgId=null, kms.data.uri=kms://hds2.org5.portun.us/keys/e[~]e, kms.data.userId=c-agent b[~]c -> userid 9[~]c, kms.data.httpUserAgent=<Webex service>Nøkkelindikator: Eksempelloggen viser en skyagent (
c-agent b[~]c) hente en innholdsnøkkel på vegne av brukeren (9[~]c). -
Direkte interaksjon med sluttbrukere:
En godkjent bruker som samhandler direkte med HDS.
Eksempellogg:
2026-06-18 11:29:39.858 (+0000) INFO KMS [pool-19-thread-141] - kms.data.method=retrieve, kms.merc.id=a[~]d, kms.merc.sync=false, kms.data.orgId=null, kms.data.httpUserAgent=<Webex service>, WEBEX_TRACKINGID=CLIENT_7[~]e, kms.data.uriHost=hds2.org5.portun.us, kms.data.type=KEY, kms.data.requestId=1[~]a, kms.response.destination=https://wdm-a.wbx2.com/wdm/api/v1/devices/1[~]e, kms.response.resourceuri=null, kms.data.uri=kms://hds2.org5.portun.us/keys/b[~]b, kms.data.userId=c[~]f, kms.response.success=trueNøkkelindikator: Eksempelloggen viser en sluttbruker (
c[~]f) hente en nøkkel og samhandle med HDS direkte.
Overvåk sikkerhets helse for hybriddata
| 1 |
I Partner Hub velger du Services fra menyen til venstre på skjermen. |
| 2 |
I hybriddelen finner du hybriddatasikkerhet og klikker på Edit Settings. Siden Innstillinger for hybriddatasikkerhet vises.
|
| 3 |
Skriv inn én eller flere e-postadresser atskilt med komma i delen E-postvarsler, og trykk på Enter. |
Administrer HDS-distribusjon
Bruk oppgavene som er beskrevet her for å administrere distribusjonen av hybriddatasikkerhet.
Angi tidsplan for klyngeoppgradering
Slik angir du oppgraderingsplanen:
| 1 |
Logg på Partner Hub. |
| 2 |
Fra menyen til venstre på skjermen velger du Services. |
| 3 |
I hybriddelen finner du hybriddatasikkerhet og klikker på Set up |
| 4 |
Velg klyngen på siden Hybrid Data Security Resources. |
| 5 |
Klikk på Cluster Settings kategorien. |
| 6 |
Velg klokkeslett og tidssone for oppgraderingsplanen på siden Klyngeinnstillinger under Oppgraderingsplan. Merk: Under tidssonen vises neste tilgjengelige oppgraderingsdato og -klokkeslett. Om nødvendig kan du utsette oppgraderingen til neste dag ved å klikke på Postpone by 24 hours. |
Endre nodekonfigurasjonen
-
Endre x.509 sertifikater på grunn av utløp eller andre årsaker.
Vi støtter ikke endring av CN-domenenavnet til et sertifikat. Domenet må samsvare med det opprinnelige domenet som ble brukt til å registrere klyngen.
-
Oppdaterer databaseinnstillinger for å endre til en replika av PostgreSQL- eller Microsoft SQL Server-databasen.
Vi støtter ikke migrering av data fra PostgreSQL til Microsoft SQL Server, eller motsatt vei. For å bytte databasemiljø, start en ny distribusjon av Hybrid Data Security.
-
Opprette en ny konfigurasjon for å klargjøre et nytt datasenter.
Av sikkerhetshensyn bruker Hybrid Data Security også passord for tjenestekontoer som har en levetid på ni måneder. Etter at HDS-oppsettverktøyet har generert disse passordene, distribuerer du dem til hver av HDS-nodene dine i ISO-konfigurasjonsfilen. Når organisasjonens passord nærmer seg utløpsdato, mottar du et varsel fra Webex-teamet om å tilbakestille passordet for maskinkontoen din. (E-posten inneholder teksten "Bruk maskinkontoens API for å oppdatere passordet.") Hvis passordene dine ikke har utløpt ennå, gir verktøyet deg to alternativer:
-
Myk tilbakestilling – Både gamle og nye passord fungerer i opptil 10 dager. Bruk denne perioden til å erstatte ISO-filen på nodene gradvis.
-
Hard reset – De gamle passordene slutter å fungere umiddelbart.
Hvis passordene dine utløper uten en tilbakestilling, påvirker det HDS-tjenesten din, og krever en umiddelbar hard tilbakestilling og erstatning av ISO-filen på alle noder.
Bruk denne prosedyren til å generere en ny konfigurasjons-ISO-fil og bruke den på klyngen din.
Før du starter
-
Installasjonsverktøyet for HDS kjører som en Docker-beholder på en lokal maskin. For å få tilgang til den, kjør Docker på den maskinen. Installasjonsprosessen krever legitimasjon for en Partner Hub-konto med fullstendige partneradministratorrettigheter.
Hvis du ikke har en Docker Desktop-lisens, kan du bruke Podman Desktop til å kjøre HDS-installasjonsverktøyet i trinn 1.a til 1.e i prosedyren nedenfor. Se Kjør HDS-installasjonsverktøy ved hjelp av Podman Desktop for detaljer.
Hvis HDS-installasjonsverktøyet kjører bak en proxy i miljøet ditt, må du oppgi proxy-innstillingene (server, port, legitimasjon) gjennom Docker-miljøvariablene når du tar opp Docker-beholderen i 1.e. Denne tabellen gir noen mulige miljøvariabler:
Beskrivelse
Variabel
HTTP Proxy uten autentisering
GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORTHTTPS Proxy uten autentisering
GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORTHTTP Proxy med autentisering
GLOBAL_AGENT_HTTP_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORTHTTPS Proxy med autentisering
GLOBAL_AGENT_HTTPS_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT -
Du trenger en kopi av den gjeldende ISO-konfigurasjonsfilen for å generere en ny konfigurasjon. ISO-en inneholder hovednøkkelen som krypterer PostgreSQL- eller Microsoft SQL Server-databasen. Du trenger ISO når du gjør konfigurasjonsendringer, inkludert databaselegitimasjon, sertifikatoppdateringer eller endringer i autorisasjonspolicy.
| 1 |
Kjør HDS-konfigureringsverktøyet via Docker på en lokal maskin. |
| 2 |
Hvis du bare har én HDS-node som kjører, oppretter du en ny hybrid datasikkerhetsnode VM og registrerer den ved hjelp av den nye ISO-konfigurasjonsfilen. For mer detaljerte instruksjoner kan du se Opprett og registrer flere noder. |
| 3 |
For eksisterende HDS-noder som kjører den eldre konfigurasjonsfilen, monter ISO-filen. Utfør følgende prosedyre på hver node etter tur, og oppdater hver node før du slår av neste node: |
| 4 |
Gjenta trinn 3 for å erstatte konfigurasjonen på hver gjenværende node som kjører den gamle konfigurasjonen. |
Deaktiver blokkert ekstern DNS-oppløsningsmodus
Når du registrerer en node eller kontrollerer nodens proxy-konfigurasjon, tester prosessen DNS-oppslag og tilkobling til Cisco Webex-skyen. Hvis nodens DNS-server ikke kan løse offentlige DNS-navn, går noden automatisk inn i modusen blokkert ekstern DNS-oppløsning.
Hvis nodene kan løse offentlige DNS-navn via interne DNS-servere, kan du deaktivere denne modusen ved å kjøre proxy-tilkoblingstesten på nytt på hver node.
Før du starter
| 1 |
Åpne nodegrensesnittet for hybriddatasikkerhet i en nettleser (IP-adresse/oppsett, for eksempel https://192.0.2.0/oppsett), angi administratorlegitimasjonen du har konfigurert for noden, og klikk deretter på Sign In. |
| 2 |
Gå til Oversikt (standardsiden). Når aktivert, Blocked External DNS Resolution er angitt til Yes. |
| 3 |
Gå til Trust Store & Proxy siden. |
| 4 |
Klikk Check Proxy Connection. Hvis du får en melding om at den eksterne DNS-oppløsningen ikke var vellykket, kunne ikke noden nå DNS-serveren og den vil forbli i denne modusen. Ellers, etter at du har startet noden på nytt og gått tilbake til siden Oversikt, bør blokkert ekstern DNS-oppløsning settes til Nei. |
Hva nå?
Fjerne en node
| 1 |
Bruk VMware vSphere-klienten på datamaskinen til å logge på den virtuelle ESXi-verten og slå av den virtuelle maskinen. |
| 2 |
Fjern noden: |
| 3 |
Slett VM-en i vSphere-klienten. (Høyreklikk på VM i venstre navigasjonsrute og klikk på Delete.) Hvis du ikke sletter VM-en, må du huske å avmontere ISO-konfigurasjonsfilen. Uten ISO-filen kan du ikke bruke VM til å få tilgang til sikkerhetsdataene dine. |
Katastrofegjenoppretting ved hjelp av standbydatasenter
Den mest kritiske tjenesten som din hybride datasikkerhetsklynge tilbyr, er oppretting og lagring av nøkler som brukes til å kryptere meldinger og annet innhold som er lagret i Webex-skyen. For hver bruker i organisasjonen som er tilordnet hybriddatasikkerhet, rutes nye forespørsler om nøkkeloppretting til klyngen. Klyngen er også ansvarlig for å returnere nøklene den er opprettet til brukere som er autorisert til å hente dem, for eksempel medlemmer av et samtaleområde.
Fordi klyngen utfører den kritiske funksjonen med å levere disse nøklene, er det viktig at klyngen forblir i drift og at riktige sikkerhetskopier opprettholdes. Tap av hybriddatasikkerhetsdatabasen eller konfigurasjons-ISO som brukes for skjemaet, vil føre til UGJENOPPRETTELIG TAP av kundeinnhold. Følgende fremgangsmåter er obligatoriske for å forhindre et slikt tap:
Hvis en katastrofe fører til at HDS-distribusjonen i det primære datasenteret blir utilgjengelig, følger du denne fremgangsmåten for å manuelt failover til standbydatasenteret.
Før du starter
| 1 |
Start HDS-installasjonsverktøyet og følg trinnene som er nevnt i Opprett en konfigurasjons-ISO for HDS-verter. |
| 2 |
Når du har konfigurert Syslogd-serveren, klikker du på Advanced Settings |
| 3 |
På Advanced Settings side, legg til konfigurasjonen nedenfor eller fjern
|
| 4 |
Fullfør konfigurasjonsprosessen og lagre ISO-filen på et sted som er lett å finne. |
| 5 |
Ta en sikkerhetskopi av ISO-filen på ditt lokale system. Behold sikkerhetskopien sikker. Denne filen inneholder en hovedkrypteringsnøkkel for databaseinnholdet. Begrens tilgangen til bare de hybriddatasikkerhetsadministratorene som skal foreta konfigurasjonsendringer. |
| 6 |
Høyreklikk på VMware vSphere-klienten i venstre navigasjonsrute, og klikk Edit Settings.. |
| 7 |
Klikk Edit Settings >CD/DVD Drive 1 og velg Datalager ISO-fil. Sørg for at Connected og Connect at power on kontrolleres slik at oppdaterte konfigurasjonsendringer kan tre i kraft etter at nodene er startet. |
| 8 |
Slå på HDS-noden og sørg for at det ikke er noen alarmer i minst 15 minutter. |
| 9 |
Gjenta prosessen for hver node i standbydatasenteret. Kontroller syslog-utdataene for å bekrefte at nodene i standby-datasenteret ikke er i passiv modus. «KMS konfigurert i passiv modus» skal ikke vises i syslogger. |
Hva nå?
(Valgfritt) Fjern ISO etter HDS-konfigurasjon
Standard HDS-konfigurasjon kjøres med ISO-montert. Men noen kunder foretrekker ikke å forlate ISO-filer kontinuerlig montert. Du kan avmontere ISO-filen etter at alle HDS-nodene har tatt opp den nye konfigurasjonen.
Du bruker fortsatt ISO-filene til å foreta konfigurasjonsendringer. Når du oppretter en ny ISO eller oppdaterer en ISO gjennom installasjonsverktøyet, må du montere den oppdaterte ISO-en på alle HDS-nodene dine. Når alle nodene har plukket opp konfigurasjonsendringene, kan du avmontere ISO-en igjen med denne fremgangsmåten.
Før du starter
Oppgrader alle HDS-nodene dine til versjon 2025.06.02.6983 eller nyere.
| 1 |
Slå av en av HDS-nodene dine. |
| 2 |
Velg HDS-noden i vCenter Server Appliance. |
| 3 |
Velg og fjern merket Datastore ISO File. |
| 4 |
Slå på HDS-noden og sørg for at det ikke er noen alarmer i minst 20 minutter. |
| 5 |
Gjenta for hver HDS-node i sin tur. |
Vis varsler og feilsøking
En distribusjon av hybriddatasikkerhet anses som utilgjengelig hvis alle nodene i klyngen ikke er tilgjengelige, eller klyngen fungerer så sakte at forespørslene blir tidsavbrutt. Hvis brukere ikke kan nå din hybride datasikkerhetsklynge, opplever de følgende symptomer:
-
Nye områder kan ikke opprettes (kan ikke opprette nye nøkler)
-
Meldinger og områdetitler kan ikke dekrypteres for:
-
Nye brukere lagt til i et område (kan ikke hente nøkler)
-
Eksisterende brukere i et område som bruker en ny klient (kan ikke hente nøkler)
-
-
Eksisterende brukere i et område vil fortsette å kjøre vellykket så lenge klientene deres har en hurtigbuffer med krypteringsnøklene
Det er viktig at du overvåker den hybride datasikkerhetsklyngen riktig og adresserer eventuelle varsler umiddelbart for å unngå tjenesteavbrudd.
Varsler
Hvis det er et problem med oppsettet av hybriddatasikkerhet, viser Partner Hub varsler til organisasjonens administrator og sender e-poster til den konfigurerte e-postadressen. Varslene dekker mange vanlige scenarier.
|
Varsel |
Handling |
|---|---|
|
Feil ved tilgang til lokal database. |
Se etter databasefeil eller lokale nettverksproblemer. |
|
Feil ved lokal databasetilkobling. |
Kontroller at databaseserveren er tilgjengelig, og at riktig tjenestekontolegitimasjon ble brukt i nodekonfigurasjonen. |
|
Feil ved tilgang til skytjeneste. |
Kontroller at nodene har tilgang til Webex-serverne som angitt i Krav til ekstern tilkobling. |
|
Fornye registrering av skytjeneste. |
Registrering til skytjenester ble avbrutt. Fornyelse av registrering pågår. |
|
Registrering av skytjeneste avbrutt. |
Registrering til skytjenester avsluttet. Tjenesten er stengt. |
|
Tjenesten er ikke aktivert ennå. |
Aktiver HDS i Partner Hub. |
|
Konfigurert domene samsvarer ikke med serversertifikatet. |
Kontroller at serversertifikatet samsvarer med det konfigurerte tjenesteaktiveringsdomenet. Den mest sannsynlige årsaken er at sertifikatets CN nylig ble endret og nå er forskjellig fra CN som ble brukt under den første installasjonen. |
|
Kunne ikke autentisere seg til skytjenester. |
Sjekk for nøyaktighet og mulig utløp av legitimasjon for tjenestekontoen. |
|
Kunne ikke åpne lokal nøkkelbutikkfil. |
Kontroller integritet og passordnøyaktighet på den lokale nøkkelbutikkfilen. |
|
Det lokale serversertifikatet er ugyldig. |
Kontroller serversertifikatets utløpsdato og bekreft at det ble utstedt av en klarert sertifiseringsinstans. |
|
Kan ikke legge ut måledata. |
Kontroller lokal nettverkstilgang til eksterne skytjenester. |
|
/media/configdrive/hds-katalog finnes ikke. |
Kontroller konfigurasjonen av ISO-monteringen på virtuell vert. Kontroller at ISO-filen finnes, at den er konfigurert til å monteres ved omstart, og at den monteres. |
|
Oppsett av leietakerorganisasjon er ikke fullført for de tilførte organisasjonene |
Fullfør oppsettet ved å opprette CMK-er for nylig tillagte leietakerorganisasjoner ved hjelp av HDS-installasjonsverktøyet. |
|
Oppsett av leietakerorganisasjon er ikke fullført for fjernede organisasjoner |
Fullfør oppsettet ved å tilbakekalle CMK-er for leietakerorganisasjoner som ble fjernet ved hjelp av HDS-installasjonsverktøyet. |
Feilsøke hybrid datasikkerhet
| 1 |
Logg på Partner Hub. |
| 2 |
Fra menyen til venstre på skjermen velger du Services. |
| 3 |
I hybriddelen finner du hybriddatasikkerhet og klikker på Events. |
| 4 |
Se gjennom siden for hendelseshistorikk for eventuelle varsler og fikse eventuelle elementer du finner der. Se bildet nedenfor for referanse. |
| 5 |
Se gjennom syslog-serverens utdata for aktivitet fra distribusjonen av hybriddatasikkerhet. Filtrer etter ord som "Advarsel" og "Feil" for å hjelpe til med feilsøking. |
| 6 |
Kontakt Cisco brukerstøtte. |
HDS-utvikler-API-er
HDS Developer API-ene er en måte å hente analyse- og overvåkingsdata på, i tillegg til å feilsøke HDS-distribusjoner gjennom Webex Developer Portal. API-ene er tilgjengelige på https://developer.webex.com/messaging/docs/api/v1/hds.
Kjente problemer for hybrid datasikkerhet
-
Hvis du avslutter alle de aktive klyngene for hybriddatasikkerhet (ved å slette dem i Partner Hub eller ved å avslutte alle noder), mister konfigurasjons-ISO-filen eller mister tilgangen til nøkkelbutikkdatabasen, kan ikke Webex-appbrukere i kundeorganisasjoner lenger bruke områder under Personer-listen sin som ble opprettet med nøkler fra KMS. Vi har for øyeblikket ingen løsning eller løsning på dette problemet, og vi oppfordrer deg til ikke å avslutte HDS-tjenestene når de håndterer aktive brukerkontoer.
-
En klient som har en eksisterende ECDH-tilkobling til en KMS opprettholder denne tilkoblingen i en tidsperiode (sannsynligvis én time).
Kjør HDS-installasjonsverktøyet ved hjelp av Podman Desktop
Podman er et gratis og åpen kildekode containeradministrasjonsverktøy som gir en måte å kjøre, administrere og opprette containere på. Podman Desktop kan lastes ned fra https://podman-desktop.io/downloads.
-
Installasjonsverktøyet for HDS kjører som en Docker-beholder på en lokal maskin. For å få tilgang til den må du laste ned og kjøre Podman på den maskinen. Installasjonsprosessen krever legitimasjonen til en Control Hub-konto med fulle administratorrettigheter for organisasjonen din.
Hvis HDS-installasjonsverktøyet kjører bak en proxy i miljøet ditt, må du oppgi proxy-innstillingene (server, port, legitimasjon) gjennom Docker-miljøvariablene når du tar opp Docker-beholderen i trinn 5. Denne tabellen gir noen mulige miljøvariabler:
Beskrivelse
Variabel
HTTP Proxy uten autentisering
GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORTHTTPS Proxy uten autentisering
GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORTHTTP Proxy med autentisering
GLOBAL_AGENT_HTTP_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORTHTTPS Proxy med autentisering
GLOBAL_AGENT_HTTPS_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT -
ISO-konfigurasjonsfilen du genererer, inneholder hovednøkkelen som krypterer PostgreSQL- eller Microsoft SQL Server-databasen. Du trenger den nyeste kopien av denne filen hver gang du gjør konfigurasjonsendringer, for eksempel disse:
-
Databaselegitimasjon
-
Sertifikatoppdateringer
-
Endringer i godkjenningspolicyen
-
-
Hvis du planlegger å kryptere databasetilkoblinger, konfigurerer du distribusjonen av PostgreSQL eller SQL Server for TLS.
Installasjonsprosessen for hybriddatasikkerhet oppretter en ISO-fil. Deretter bruker du ISO til å konfigurere verten for hybriddatasikkerhet.
| 1 |
På maskinens kommandolinje skriver du inn riktig kommando for miljøet ditt: I vanlige miljøer: I FedRAMP-miljøer: Dette trinnet rydder opp tidligere HDS-oppsettsverktøybilder. Hvis det ikke er noen tidligere bilder, returnerer det en feil som du kan ignorere. |
| 2 |
For å logge på Docker-bilderegisteret, skriv inn følgende: |
| 3 |
Ved passordspørsmålet skriver du inn denne hashen: |
| 4 |
Last ned det siste stabile bildet for ditt miljø: I vanlige miljøer: I FedRAMP-miljøer: |
| 5 |
Når trekket er fullført, skriv inn riktig kommando for miljøet ditt:
Når containeren kjører, ser du "Express server lytter på port 8080". Installasjonsverktøyet støtter ikke tilkobling til localhost via http://localhost:8080. Bruk http://127.0.0.1:8080 for å koble til localhost. |
Hva nå?
Deaktiver skyagenter
Skyagenter (c-agent) er klarerte Webex-tjenestekontoer som utfører operasjoner på HDS via delegert tilgang på vegne av en bruker for å forbedre den generelle brukeropplevelsen. Deaktivering av skyagenter blokkerer Webex-tjenester fra å få tilgang til lokale HDS-nøkler.
Deaktivering av skyagenter vil føre til tap av funksjoner som opptak etter møtet, utskrifter, forhåndsvisninger av filer og automatisert skanning mot skadelig programvare i Webex-appområder.
Følg trinnene nedenfor for å deaktivere skyagenter for HDS-distribusjonen.
| 1 |
Start HDS-installasjonsverktøyet og følg trinnene som er nevnt i Opprett en konfigurasjons-ISO for HDS-verter. ISO-filen må være en kopi av den opprinnelige ISO-filen fra det primære datasenteret som følgende konfigurasjonsoppdateringer skal utføres på. |
| 2 |
Når du har konfigurert Syslogd-serveren, klikker du på Advanced Settings. |
| 3 |
På Advanced Settings Legg til konfigurasjonen nedenfor for å deaktivere skyagenter. Dette vil sikre at skyagenter ikke har tillatelse til å håndtere HDS-trafikk.
|
| 4 |
Fullfør konfigurasjonsprosessen og lagre ISO-filen på et sted som er lett å finne. |
| 5 |
Ta en sikkerhetskopi av ISO-filen på ditt lokale system. Behold sikkerhetskopien sikker. Denne filen inneholder en hovedkrypteringsnøkkel for databaseinnholdet. Begrens tilgangen til bare de hybriddatasikkerhetsadministratorene som skal foreta konfigurasjonsendringer. |
| 6 |
Høyreklikk på VMware vSphere-klienten i venstre navigasjonsrute, og klikk Edit Settings.. |
| 7 |
Klikk Edit Settings >CD/DVD Drive 1 og velg Datalager ISO-fil. Sørg for at Connected og Connect at power on kontrolleres slik at oppdaterte konfigurasjonsendringer kan tre i kraft etter at nodene er startet. |
| 8 |
Slå på HDS-noden og sørg for at det ikke er noen alarmer i minst 15 minutter. |
| 9 |
Gjenta prosessen for hver node i HDS-distribusjonen. Bekreft at skyagenter er deaktivert ved å sjekke systemloggene for følgende oppføring: "Skyagentoppdatering deaktivert". |
Flytt den eksisterende HDS-distribusjonen av en partnerorganisasjon i Control Hub til et HDS-oppsett for flere leietakere i Partner Hub
Konverteringen fra en eksisterende HDS-distribusjon med én leietaker av en partnerorganisasjon administrert i Control Hub til en HDS-distribusjon med flere leietakere administrert i Partner Hub involverer primært deaktivering av HDS-tjenesten i Control Hub, avregistrering av noder og sletting av klyngen. Du kan deretter logge på Partner Hub, registrere nodene, aktivere multi-tenant HDS og legge til kunder i klyngen din.
Begrepet «enkeltleietaker» refererer ganske enkelt til en eksisterende HDS-distribusjon i Control Hub.
Deaktiver HDS, avregistrer noder og slett alle klynger i Control Hub
| 1 |
Logg inn på Control Hub. Klikk på venstre rute Hybrid. Klikk på kortet for hybriddatasikkerhet Edit Settings. |
| 2 |
På innstillingssiden blar du ned til delen Deaktiver og klikker Deactivate. |
| 3 |
Etter deaktivering klikker du på Resources kategorien. |
| 4 |
Filen Resources sidene lister opp klynger i HDS-distribusjonen. Klikk på en klynge, en side åpnes med alle nodene under den klyngen. |
| 5 |
Klikk |
| 6 |
Hvis distribusjonen har flere klynger, gjentar du trinn 4 og trinn 5 til alle noder er avregistrert. |
| 7 |
Klikk Cluster Settings > Remove. |
| 8 |
Klikk Confirm Removal for å avregistrere klyngen. |
| 9 |
Gjenta prosessen for alle klynger i HDS-distribusjonen. Etter HDS-deaktivering, avregistrering av noder og fjerning av klynger vil hybriddatatjenestekortet på Control Hub ha Oppsettet ikke fullført vist nederst. |
Aktiver HDS for flere leietakere for partnerorganisasjonen på Partner Hub og legg til kunder
Før du starter
Alle forutsetningene som er nevnt i Krav til hybriddatasikkerhet for flere leietakere, gjelder her. I tillegg må du sørge for at den samme databasen og sertifikatene brukes under flytting til HDS med flere leietakere.
| 1 |
Logg på Partner Hub. Klikk Services på venstre rute. Bruk den samme ISO fra forrige HDS-distribusjon til å konfigurere nodene. Dette vil sikre at meldinger og innhold generert av brukerne i den tidligere eksisterende HDS-distribusjonen fremdeles er tilgjengelig i det nye flerleietakeroppsettet. |
| 2 |
I hybriddelen finner du hybriddatasikkerhetskortet og klikker på Set up. |
| 3 |
På siden som åpnes, klikk på Add a resource. |
| 4 |
I det første feltet av Create a cluster kort, skriv inn et navn på klyngen du vil tilordne din hybride datasikkerhetsnode til. Vi anbefaler at du navngir en klynge basert på hvor nodene i klyngen befinner seg geografisk. Eksempler: "San Francisco" eller "New York" eller "Dallas" |
| 5 |
I det andre feltet skriver du inn den interne IP-adressen eller det fullstendige domenenavnet (FQDN) til noden og klikker på Add nederst på skjermen. Denne IP-adressen eller FQDN skal samsvare med IP-adressen eller vertsnavnet og domenet du brukte i Konfigurer VM for hybrid datasikkerhet. Det vises en melding som angir at du kan registrere noden din til Webex.
|
| 6 |
Klikk Go to Node. Etter et øyeblikk blir du omdirigert til nodetilkoblingstestene for Webex-tjenester. Hvis alle testene er vellykkede, vises siden Gi tilgang til hybrid datasikkerhetsnode. Der bekrefter du at du vil gi tillatelse til Webex-organisasjonen din for å få tilgang til noden din. |
| 7 |
Sjekk Allow Access to Your Hybrid Data Security Node avmerkingsboks, og klikk deretter på Continue. Kontoen din er validert, og meldingen «Registreringen er fullført» indikerer at noden din nå er registrert i Webex-skyen. På Hybrid Data Security siden, vises den nye klyngen som inneholder noden du registrerte, under Resources kategorien. Noden vil automatisk laste ned den nyeste programvaren fra skyen.
|
| 8 |
Gå til Settings fane, og klikk Activate på HDS-statuskortet.
Activated HDS meldingen vises nederst på skjermen.
|
| 9 |
Klikk på Assigned customers kategorien. |
| 10 |
Klikk Add customers. |
| 11 |
Velg kunden du vil legge til, fra rullegardinmenyen. |
| 12 |
Klikk Addvil kunden bli lagt til i klyngen. |
| 13 |
Gjenta trinn 11 til 13 for å legge til flere kunder i klyngen. |
| 14 |
Klikk Done nederst på skjermen når du har lagt til kundene. |
Hva nå?
Bruk OpenSSL til å generere en PKCS12-fil
Før du starter
-
OpenSSL er et verktøy som kan brukes til å lage PKCS12-filen i riktig format for lasting i HDS-installasjonsverktøyet. Det finnes andre måter å gjøre dette på, og vi støtter ikke eller fremmer en måte fremfor en annen.
-
Hvis du velger å bruke OpenSSL, tilbyr vi denne prosedyren som en veiledning for å hjelpe deg med å opprette en fil som oppfyller X.509 sertifikatkravene i X.509 Sertifikatkrav. Forstå disse kravene før du fortsetter.
-
Installer OpenSSL i et støttet miljø. Se https://www.openssl.org for programvare og dokumentasjon.
-
Opprett en privat nøkkel.
-
Start denne prosedyren når du mottar serversertifikatet fra Certificate Authority (CA).
| 1 |
Når du mottar serversertifikatet fra din sertifiseringsinstans, må du lagre det som |
| 2 |
Vis sertifikatet som tekst og bekreft detaljene.
|
| 3 |
Bruk et tekstredigeringsprogram til å opprette en sertifikatbuntfil kalt
|
| 4 |
Opprett .p12-filen med det vennlige navnet
|
| 5 |
Kontroller serversertifikatdetaljene. |
Hva nå?
Gå tilbake til Fullfør forutsetningene for hybrid datasikkerhet. Du vil bruke hdsnode.p12 filen, og passordet du har angitt for den, i Opprett en konfigurasjons-ISO for HDS-verter.
Du kan bruke disse filene på nytt for å be om et nytt sertifikat når det opprinnelige sertifikatet utløper.
Trafikk mellom HDS-nodene og skyen
Utgående metrikkinnsamlingstrafikk
Nodene for hybriddatasikkerhet sender visse målinger til Webex-skyen. Disse inkluderer systemmålinger for maks. heap, heap brukt, CPU-belastning og antall tråder, målinger på synkrone og asynkrone tråder, målinger på varsler som involverer en terskel for krypteringstilkoblinger, ventetid eller lengde på en forespørselskø, målinger på datalageret og krypteringstilkoblingsmålinger. Nodene sender kryptert nøkkelmateriale over en kanal utenfor båndet (atskilt fra forespørselen).
Innkommende trafikk
Nodene for hybriddatasikkerhet mottar følgende typer innkommende trafikk fra Webex-skyen:
-
Krypteringsforespørsler fra klienter som rutes av krypteringstjenesten
-
Oppgraderinger til nodeprogramvaren
Konfigurere Squid-proxyer for hybriddatasikkerhet
Websocket kan ikke koble til via Squid-proxy
Squid-proxyer som inspiserer HTTPS-trafikk kan forstyrre etableringen av websocket (wss:) tilkoblinger som hybriddatasikkerhet krever. Disse delene gir veiledning om hvordan du konfigurerer forskjellige versjoner av Squid til å ignorere wss: trafikk for riktig drift av tjenestene.
Squid 4 og 5
Legg til on_unsupported_protocol direktiv til squid.conf:
on_unsupported_protocol tunnel allSquid 3.5.27
Vi testet hybriddatasikkerhet med følgende regler lagt til i squid.conf. Disse reglene kan endres etter hvert som vi utvikler funksjoner og oppdaterer Webex-skyen.
acl wssMercuryConnection ssl::server_name_regex mercury-connection
ssl_bump splice wssMercuryConnection
acl step1 at_step SslBump1
acl step2 at_step SslBump2
acl step3 at_step SslBump3
ssl_bump peek step1 all
ssl_bump stare step2 all
ssl_bump bump step3 allNy og endret informasjon
Denne tabellen dekker nye funksjoner eller funksjonalitet, endringer i eksisterende innhold og eventuelle større feil som ble rettet i Distribusjonsveiledningen for hybrid datasikkerhet for flere leietakere.
|
Dato |
Endringer gjort |
|---|---|
| 30. juli 2026 |
|
| 2. juli 2026 |
|
| 23. juni 2026 |
|
| 1. juni 2026 |
|
| 16. april 2026 |
|
| 25. mars 2026 |
|
|
5. desember 2025 |
|
|
21. november 2025 |
|
|
8. mai 2025 |
|
| 4. mars 2025 |
|
|
30. januar 2025 |
La til SQL Server versjon 2022 i listen over støttede SQL-servere i Krav til databaseserver. |
|
15. januar 2025 |
Lagt til Begrensninger for hybrid datasikkerhet med flere leietakere. |
|
8. januar 2025 |
La til et notat i Utfør første oppsett og last ned installasjonsfiler som sier at det å klikke på Konfigurer på HDS-kortet i Partner Hub er et viktig trinn i installasjonsprosessen. |
|
7. januar 2025 |
Oppdaterte Krav til virtuell vert, Oppgaveflyt for distribusjon av hybrid datasikkerhetog Installer HDS-verten OVA for å vise de nye kravene til ESXi 7.0. |
|
13. desember 2024 |
Først publisert. |
Oppgaveflyt for deaktivering av HDS for flere leietakere
Følg disse trinnene for å deaktivere HDS med flere leietakere fullstendig.
Før du begynner
| 1 |
Fjern alle kunder fra alle klyngene dine, som nevnt i Fjern leietakerorganisasjoner. |
| 2 |
Tilbakekalle CMK-ene til alle kunder, som nevnt i Tilbakekalle CMK-er for leietakere fjernet fra HDS.. |
| 3 |
Fjern alle noder fra alle klyngene dine, som nevnt i Fjern en node. |
| 4 |
Slett alle klyngene dine fra Partner Hub ved hjelp av én av følgende to metoder.
|
| 5 |
Klikk på fanen Innstillinger på oversiktssiden for hybrid datasikkerhet, og klikk på Deaktiver HDS på HDS-statuskortet. |
Ofte stilte spørsmål
Q. Lagres CMK-ene og hovednøkkelen i ISO-filen eller i databasen?
EN. Kundens hovednøkler (CMK-er) lagres i databasen og krypteres med hovednøkkelen, som er lagret i ISO-en.
Q. Brukes én nøkkel til å kryptere alle dataene til kundeorganisasjoner?
EN. Nei. Hver kundeorganisasjons data er kryptert med sin egen CMK (kundens hovednøkkel).
Q. Hva skjer hvis jeg deaktiverer HDS fra Partner Hub?
EN. Enkelte operasjoner, som å opprette et lokale og planlegge møter, vil bli påvirket umiddelbart. Eksisterende innhold i rom vil være tilgjengelig inntil den lokale hurtigbufferen utløper. Etter 24 timer vil brukere som administreres av partneren bytte til Cloud KMS, og det kan oppstå problemer med tidligere opprettede områder og én-til-én-områder.
Q. Når CMK-en er generert for en kundeorganisasjon via HDS-oppsettverktøyet, begynner brukerne av kundeorganisasjonen umiddelbart å bruke Multi-Tenant HDS?
EN. Det kan være en maksimal forsinkelse på 24 timer før skybufferen oppdateres.
Q. Hvorfor ser jeg ikke en liste over kunder når jeg klikker på «Legg til kunder»-knappen i Partner Hub?
EN. Dette betyr vanligvis at det ikke finnes noen kundeorganisasjoner som oppfyller Cisco Webex-lisenskravene.
Spørsmål: Hva blir konsekvensen hvis alle HDS-noder stenges ned, eller hvis et nettverksproblem påvirker alle HDS-noder?
EN. Operasjoner som å opprette rom og planlegge møter påvirkes umiddelbart. Eksisterende innhold er bare tilgjengelig inntil den lokale hurtigbufferen utløper.
Q. Er partnerorganisasjonens brukerdata kryptert med hovednøkkelen som ble generert under ISO-opprettelsen?
EN. Ja. For øyeblikket er partnerorganisasjonens brukerdata kryptert med hovednøkkelen. I fremtiden vil partnerorganisasjoner ha partnerspesifikke nøkler, i likhet med kundenes CMK-er.
Spørsmål: Kan partnerorganisasjonen og leietakerorganisasjonene være i forskjellige regioner (for eksempel USA og EU)?
EN. Ja. Partner- og leietakerorganisasjoner kan være lokalisert i forskjellige geografiske regioner.
Spørsmål: Finnes det noen mekanisme for å flytte nøkler tilbake til Cloud KMS?
EN. Det finnes ingen mekanisme for å flytte nøkler tilbake til skyen etter en HDS-distribusjon.
Spørsmål: Kan en partner fortsette å bruke Cloud KMS og utelukkende bruke Multi-Tenant HDS til å administrere kunder?
EN. Nei, dette støttes ikke for øyeblikket. Støtte for denne funksjonaliteten er planlagt for fremtiden.
Spørsmål: Hvordan kan en partner bekrefte at organisasjonen deres bruker Multi-Tenant HDS for kryptering?
EN. Logg inn på Partner Hub. Gå til Tjenester > Hybrid datasikkerhet > Innstillinger . Hvis HDS-status er aktivert, bruker brukere av partnerorganisasjonen samt tildelte kunder HDS med flere leietakere.
Alternativt kan du sjekke sysloggene dine for å bekrefte at HDS er aktivert. Se Test hybrid datasikkerhetsimplementering.
Spørsmål: Finnes det et alternativ til Docker Desktop for å kjøre HDS-oppsettverktøyet?
EN. Ja. Podman Desktop er et åpen kildekode-alternativ til Docker Desktop. Se Kjør HDS-oppsettverktøyet med Podman Desktop.
Q. Hvor mange noder kan jeg distribuere i en HDS-klynge med flere leietakere?
EN. Vi anbefaler minimum to noder og maksimum 1000.
Q. Hva er nettverkskravene som kreves for å sette opp Multi-Tenant HDS?
EN. Se Krav til ekstern tilkobling.
Q. Er Pro Pack for Control Hub et krav for partnerorganisasjoner?
EN. Nei. Pro Pack er ikke et krav for partnerorganisasjoner. Kontakt Cisco-partneren eller kontoansvarlig for å få hjelp med å konfigurere Multi-Tenant HDS.
Spørsmål: Støttes HSM i HDS med flere leietakere?
EN. Nei, for øyeblikket støtter ikke Multi-Tenant HDS HSM.
Q. Kan jeg teste flerbruker-HDS med et selvsignert sertifikat?
EN. Nei. Multi-Tenant HDS krever et sertifikat hentet fra en klarert CA som oppfyller alle kravene nevnt i X.509-sertifikatkrav.
Spørsmål: Er det nødvendig å montere ISO-en hver gang en ny kunde legges til i Partner Hub?
EN. Nei. ISO-en trenger bare å monteres når du endrer ISO-konfigurasjoner. Når du legger til en ny kunde i Partner Hub, må du sørge for at du kan opprette CMK-er ved hjelp av HDS-oppsettverktøyet. Se Opprett kundens hovednøkler (CMK-er) ved hjelp av HDS-oppsettverktøyet.
Q. Etter at Multi-Tenant HDS er distribuert på Partner Hub, begynner brukere av partnerorganisasjonen å bruke lokale KMS for nøkkeladministrasjon?
EN. Brukere vil bare begynne å bruke lokale KMS for nøkkeladministrasjon etter at HDS er aktivert i Partner Hub.
Oversikt over hybrid datasikkerhet for flere leietakere
Fra dag én har datasikkerhet vært hovedfokuset i utformingen av Webex-appen. Hjørnesteinen i denne sikkerheten er ende-til-ende-innholdskryptering, aktivert av Webex-appklienter som samhandler med nøkkelhåndteringstjenesten (KMS). KMS-et er ansvarlig for å opprette og administrere kryptografiske nøkler som klienter bruker til å dynamisk kryptere og dekryptere meldinger og filer.
Som standard får alle Webex-appkunder ende-til-ende-kryptering med dynamiske nøkler lagret i sky-KMS, i Ciscos sikkerhetsområde. Hybrid datasikkerhet flytter KMS-systemet og andre sikkerhetsrelaterte funksjoner til bedriftens datasenter, slik at ingen andre enn deg har nøklene til det krypterte innholdet.
Hybrid datasikkerhet for flere leietakere lar organisasjoner utnytte HDS gjennom en pålitelig lokal partner, som kan fungere som en tjenesteleverandør og administrere lokal kryptering og andre sikkerhetstjenester. Dette oppsettet gir partnerorganisasjonen full kontroll over distribusjon og administrasjon av krypteringsnøkler og sikrer at brukerdata fra kundeorganisasjoner er trygge fra ekstern tilgang. Partnerorganisasjoner setter opp HDS-instanser og oppretter HDS-klynger etter behov. Hver instans kan støtte flere kundeorganisasjoner, i motsetning til en vanlig HDS-distribusjon som er begrenset til én enkelt organisasjon.
Dette gjør det også mulig for mindre organisasjoner å utnytte HDS, siden nøkkelhåndteringstjenester og sikkerhetsinfrastruktur som datasentre eies av den pålitelige lokale partneren.
Hvordan hybrid datasikkerhet med flere leietakere gir datasuverenitet og datakontroll
- Brukergenerert innhold er beskyttet mot ekstern tilgang, som fra skytjenesteleverandører.
- Lokale betrodde partnere administrerer krypteringsnøklene til kunder de allerede har et etablert forhold til.
- Mulighet for lokal teknisk støtte, hvis partneren tilbyr dette.
- Støtter møter, meldinger og samtaleinnhold.
Dette dokumentet har som mål å hjelpe partnerorganisasjoner med å sette opp og administrere kunder under et hybrid datasikkerhetssystem for flere leietakere.
Begrensninger ved hybrid datasikkerhet for flere leietakere
- Partnerorganisasjoner må ikke ha noen eksisterende HDS-distribusjon aktiv i Control Hub.
- Leietaker- eller kundeorganisasjoner som ønsker å bli administrert av en partner, må ikke ha noen eksisterende HDS-distribusjon i Control Hub.
- Når Multi-Tenant HDS er distribuert av partneren, begynner alle brukere av kundeorganisasjoner samt brukere av partnerorganisasjonen å bruke Multi-Tenant HDS for sine krypteringstjenester.
Partnerorganisasjonen og kundeorganisasjonene de administrerer vil være på samme Multi-Tenant HDS-distribusjon.
Partnerorganisasjonen vil ikke lenger bruke skybasert KMS etter at Multi-Tenant HDS er distribuert.
- Det finnes ingen mekanisme for å flytte nøkler tilbake til Cloud KMS etter en HDS-distribusjon.
- Administratorroller har visse begrensninger. Se avsnittet nedenfor for detaljer.
Roller i hybrid datasikkerhet med flere leietakere
- Fullstendig partneradministrator – Kan administrere innstillinger for alle kunder som partneren administrerer. Kan også tilordne administratorroller til eksisterende brukere i organisasjonen og tilordne bestemte kunder som skal administreres av partneradministratorer.
- Partneradministrator – Kan administrere innstillinger for kunder som administratoren har klargjort eller som er tilordnet brukeren.
- Full administrator – Administrator for partnerorganisasjonen som er autorisert til å utføre oppgaver som å endre organisasjonsinnstillinger, administrere lisenser og tildele roller.
- Oppsett og administrasjon av komplett HDS for flere leietakere for alle kundeorganisasjoner – Full administratorrettigheter for partnere kreves.
- Administrasjon av tildelte leietakerorganisasjoner - Partneradministrator og fulle administratorrettigheter kreves.
Sikkerhetsrikets arkitektur
Webex-skyarkitekturen skiller ulike typer tjenester inn i separate områder, eller tillitsdomener, som vist nedenfor.
For å forstå hybrid datasikkerhet bedre, la oss først se på dette rene skytilfellet, der Cisco tilbyr alle funksjoner i skyverdenen sin. Identitetstjenesten, det eneste stedet hvor brukere kan bli direkte korrelert med sin personlige informasjon, som for eksempel e-postadresse, er logisk og fysisk atskilt fra sikkerhetsområdet i datasenter B. Begge er igjen atskilt fra området der kryptert innhold til slutt lagres, i datasenter C.
I dette diagrammet er klienten Webex-appen som kjører på en brukers bærbare datamaskin, og som har autentisert seg med identitetstjenesten. Når brukeren skriver en melding som skal sendes til et rom, skjer følgende trinn:
-
Klienten oppretter en sikker forbindelse med nøkkelhåndteringstjenesten (KMS), og ber deretter om en nøkkel for å kryptere meldingen. Den sikre forbindelsen bruker ECDH, og KMS krypterer nøkkelen med en AES-256-hovednøkkel.
-
Meldingen krypteres før den forlater klienten. Klienten sender den til indekseringstjenesten, som oppretter krypterte søkeindekser for å hjelpe til med fremtidige søk etter innholdet.
-
Den krypterte meldingen sendes til samsvarstjenesten for samsvarskontroller.
-
Den krypterte meldingen lagres i lagringsområdet.
Når du distribuerer hybrid datasikkerhet, flytter du sikkerhetsfunksjonene (KMS, indeksering og samsvar) til ditt lokale datasenter. De andre skytjenestene som utgjør Webex (inkludert identitets- og innholdslagring) forblir i Ciscos område.
Samarbeid med andre organisasjoner
Brukere i organisasjonen din kan regelmessig bruke Webex-appen til å samarbeide med eksterne deltakere i andre organisasjoner. Når en av brukerne dine ber om en nøkkel til et område som eies av organisasjonen din (fordi det ble opprettet av en av brukerne dine), sender KMS-systemet ditt nøkkelen til klienten via en ECDH-sikret kanal. Men når en annen organisasjon eier nøkkelen for plassen, ruter KMS-systemet ditt forespørselen ut til Webex-skyen gjennom en separat ECDH-kanal for å hente nøkkelen fra det aktuelle KMS-systemet, og returnerer deretter nøkkelen til brukeren på den opprinnelige kanalen.
KMS-tjenesten som kjører på organisasjon A validerer tilkoblingene til KMS-er i andre organisasjoner ved hjelp av x.509 PKI-sertifikater. Se Klargjør miljøet ditt for detaljer om hvordan du genererer et x.509-sertifikat som skal brukes med din Multi-Tenant Hybrid Data Security-distribusjon.
Forventninger til implementering av hybrid datasikkerhet
En implementering av hybrid datasikkerhet krever betydelig forpliktelse og en bevissthet om risikoene som følger med å eie krypteringsnøkler.
For å implementere hybrid datasikkerhet må du oppgi:
-
Et sikkert datasenter i et land som er et støttet sted for Cisco Webex Teams-abonnementene.
-
Utstyret, programvaren og nettverkstilgangen som er beskrevet i Klargjør miljøet ditt.
Fullstendig tap av enten konfigurasjons-ISO-en du bygger for Hybrid Data Security eller databasen du oppgir, vil føre til tap av nøklene. Nøkkeltap hindrer brukere i å dekryptere plassinnhold og andre krypterte data i Webex-appen. Hvis dette skjer, kan du bygge en ny distribusjon, men bare nytt innhold vil være synlig. For å unngå tap av tilgang til data, må du:
-
Administrer sikkerhetskopiering og gjenoppretting av databasen og konfigurasjons-ISO-en.
-
Vær forberedt på å utføre rask katastrofegjenoppretting hvis en katastrofe inntreffer, for eksempel feil på databasedisken eller datasenterkatastrofe.
Det finnes ingen mekanisme for å flytte nøkler tilbake til skyen etter en HDS-distribusjon.
Høynivåoppsettprosess
Dette dokumentet dekker oppsett og administrasjon av en hybrid datasikkerhetsdistribusjon med flere leietakere:
-
Konfigurer hybrid datasikkerhet– Dette inkluderer å forberede nødvendig infrastruktur og installere hybrid datasikkerhetsprogramvare, bygge en HDS-klynge, legge til leietakerorganisasjoner i klyngen og administrere kundens hovednøkler (CMK-er). Dette vil gjøre det mulig for alle brukere i kundeorganisasjonene dine å bruke hybriddatasikkerhetsklyngen din til sikkerhetsfunksjoner.
Oppsett-, aktiverings- og administrasjonsfasene dekkes i detalj i de neste tre kapitlene.
-
Vedlikehold din hybride datasikkerhetsdistribusjon– Webex-skyen tilbyr automatisk kontinuerlige oppgraderinger. IT-avdelingen din kan tilby støtte på nivå én for denne utrullingen, og engasjere Cisco-støtte etter behov. Du kan bruke varsler på skjermen og konfigurere e-postbaserte varsler i Partner Hub.
-
Forstå vanlige varsler, feilsøkingstrinn og kjente problemer– Hvis du støter på problemer med å distribuere eller bruke Hybrid Data Security, kan det siste kapittelet i denne veiledningen og tillegget om kjente problemer hjelpe deg med å finne og løse problemet.
Hybrid distribusjonsmodell for datasikkerhet
Innenfor bedriftens datasenter distribuerer du Hybrid Data Security som en enkelt klynge av noder på separate virtuelle verter. Nodene kommuniserer med Webex-skyen via sikre websockets og sikker HTTP.
Under installasjonsprosessen gir vi deg OVA-filen for å konfigurere den virtuelle enheten på de virtuelle maskinene du stiller til rådighet. Du bruker HDS-oppsettverktøyet til å opprette en tilpasset ISO-fil for klyngekonfigurasjon som du monterer på hver node. Hybrid Data Security-klyngen bruker den oppgitte Syslogd-serveren og PostgreSQL- eller Microsoft SQL Server-databasen. (Du konfigurerer Syslogd og databasetilkoblingsdetaljene i HDS-oppsettverktøyet.)
Minimum antall noder du kan ha i en klynge er to. Vi anbefaler minst tre per klynge. Å ha flere noder sikrer at tjenesten ikke avbrytes under en programvareoppgradering eller annen vedlikeholdsaktivitet på en node. (Webex-skyen oppgraderer bare én node om gangen.)
Alle noder i en klynge har tilgang til det samme nøkkeldatalageret og logger aktivitet til den samme syslog-serveren. Selve nodene er statsløse og håndterer viktige forespørsler i runde-robin-modus, som anvist av skyen.
Noder blir aktive når du registrerer dem i Partner Hub. For å ta en individuell node ut av drift, kan du avregistrere den og senere registrere den på nytt om nødvendig.
Standby-datasenter for katastrofegjenoppretting
Under utrullingen setter du opp et sikkert reservedatasenter. I tilfelle en datasenterkatastrofe kan du manuelt overføre utrullingen til reservedatasenteret.
Databasene til de aktive og standby-datasentrene er synkroniserte med hverandre, noe som vil minimere tiden det tar å utføre failover.
De aktive Hybrid Data Security-nodene må alltid være i samme datasenter som den aktive databaseserveren.
Sett opp et reservedatasenter for katastrofegjenoppretting
Følg trinnene nedenfor for å konfigurere ISO-filen til standby-datasenteret:
Før du begynner
-
Standby-datasenteret bør speile produksjonsmiljøet til virtuelle maskiner og en sikkerhetskopi av PostgreSQL- eller Microsoft SQL Server-database. Hvis for eksempel produksjonen har 3 virtuelle maskiner som kjører HDS-noder, bør sikkerhetskopieringsmiljøet ha 3 virtuelle maskiner. (Se Standby-datasenter for katastrofegjenoppretting for en oversikt over denne failover-modellen.)
-
Sørg for at databasesynkronisering er aktivert mellom databasen til aktive og passive klyngenoder.
| 1 |
Start HDS-oppsettverktøyet og følg trinnene som er nevnt i Opprett en konfigurasjons-ISO for HDS-vertene. ISO-filen må være en kopi av den originale ISO-filen til det primære datasenteret som følgende konfigurasjonsoppdateringer skal gjøres på. |
| 2 |
Etter at du har konfigurert Syslogd-serveren, klikker du på Avanserte innstillinger |
| 3 |
På siden Avanserte innstillinger legger du til konfigurasjonen nedenfor for å sette noden i passiv modus. I denne modusen vil noden være registrert i organisasjonen og koblet til skyen, men vil ikke håndtere noen trafikk.
|
| 4 |
Fullfør konfigurasjonsprosessen og lagre ISO-filen på et sted som er lett å finne. |
| 5 |
Lag en sikkerhetskopi av ISO-filen på ditt lokale system. Oppbevar sikkerhetskopien sikkert. Denne filen inneholder en hovedkrypteringsnøkkel for databaseinnholdet. Begrens tilgangen til kun de administratorene for hybrid datasikkerhet som skal gjøre konfigurasjonsendringer. |
| 6 |
I VMware vSphere-klientens venstre navigasjonsrute høyreklikker du på den virtuelle maskinen og klikker på Rediger innstillinger.. |
| 7 |
Klikk på Rediger innstillinger >CD/DVD Stasjon 1 og velg Datastore ISO-fil. Sørg for at Tilkoblet og Koble til ved oppstart er avmerket, slik at oppdaterte konfigurasjonsendringer kan tre i kraft etter at nodene har startet. |
| 8 |
Slå på HDS-noden og sørg for at det ikke er noen alarmer på minst 15 minutter. |
| 9 |
Gjenta prosessen for hver node i standby-datasenteret. Sjekk sysloggene for å bekrefte at nodene er i passiv modus. Du skal kunne se meldingen «KMS konfigurert i passiv modus» i sysloggene. |
Hva du skal gjøre nå
Etter at du har konfigurert passiveMode i ISO-filen og lagret den, kan du opprette en ny kopi av ISO-filen uten passiveMode -konfigurasjonen og lagre den på et sikkert sted. Denne kopien av ISO-filen uten passiveMode konfigurert kan bidra til en rask failover-prosess under katastrofegjenoppretting. Se Katastrofegjenoppretting ved bruk av Standby Data Center for den detaljerte failover-prosedyren.
Proxy-støtte
Hybrid datasikkerhet støtter eksplisitte, transparente inspiserende og ikke-inspiserende proxyer. Du kan knytte disse proxy-tjenerne til distribusjonen din, slik at du kan sikre og overvåke trafikk fra bedriften og ut til skyen. Du kan bruke et plattformadministratorgrensesnitt på nodene for sertifikatadministrasjon og for å sjekke den generelle tilkoblingsstatusen etter at du har konfigurert proxyen på nodene.
Hybrid Data Security-nodene støtter følgende proxy-alternativer:
-
Ingen proxy– Standardinnstillingen hvis du ikke bruker HDS-nodeoppsettet Trust Store & Proxy-konfigurasjon for å integrere en proxy. Ingen sertifikatoppdatering er nødvendig.
-
Transparent ikke-inspiserende proxy– Nodene er ikke konfigurert til å bruke en spesifikk proxy-serveradresse og skal ikke kreve noen endringer for å fungere med en ikke-inspiserende proxy. Ingen sertifikatoppdatering er nødvendig.
-
Transparent tunnelering eller inspeksjon av proxy– Nodene er ikke konfigurert til å bruke en spesifikk proxy-serveradresse. Ingen endringer i HTTP- eller HTTPS-konfigurasjonen er nødvendige på nodene. Nodene trenger imidlertid et rotsertifikat slik at de stoler på proxyen. Inspeksjon av proxyer brukes vanligvis av IT for å håndheve retningslinjer for hvilke nettsteder som kan besøkes og hvilke typer innhold som ikke er tillatt. Denne typen proxy dekrypterer all trafikken din (til og med HTTPS).
-
Eksplisitt proxy– Med eksplisitt proxy forteller du HDS-nodene hvilken proxy-server og autentiseringsskjema de skal bruke. For å konfigurere en eksplisitt proxy, må du angi følgende informasjon på hver node:
-
Proxy IP/FQDN– Adresse som kan brukes til å nå proxy-maskinen.
-
Proxy-port– Et portnummer som proxyen bruker til å lytte etter proxy-trafikk.
-
Proxy-protokoll– Avhengig av hva proxy-serveren din støtter, kan du velge mellom følgende protokoller:
-
HTTP – Viser og kontrollerer alle forespørsler som klienten sender.
-
HTTPS – Gir en kanal til serveren. Klienten mottar og validerer serverens sertifikat.
-
-
Autentiseringstype– Velg blant følgende autentiseringstyper:
-
Ingen– Ingen ytterligere autentisering er nødvendig.
Tilgjengelig hvis du velger enten HTTP eller HTTPS som proxy-protokoll.
-
Grunnleggende– Brukes av en HTTP-brukeragent for å oppgi brukernavn og passord når en forespørsel sendes. Bruker Base64-koding.
Tilgjengelig hvis du velger enten HTTP eller HTTPS som proxy-protokoll.
Krever at du oppgir brukernavn og passord på hver node.
-
Sammendrag– Brukes til å bekrefte kontoen før sensitiv informasjon sendes. Bruker en hash-funksjon på brukernavnet og passordet før sending over nettverket.
Bare tilgjengelig hvis du velger HTTPS som proxy-protokoll.
Krever at du oppgir brukernavn og passord på hver node.
-
-
Eksempel på hybride datasikkerhetsnoder og proxy
Dette diagrammet viser et eksempel på en tilkobling mellom Hybrid Data Security, nettverket og en proxy. For proxy-alternativene for transparent inspeksjon og HTTPS-eksplisitt inspeksjon må det samme rotsertifikatet installeres på proxyen og på Hybrid Data Security-nodene.
Blokkert ekstern DNS-oppløsningsmodus (eksplisitte proxy-konfigurasjoner)
Når du registrerer en node eller sjekker nodens proxy-konfigurasjon, tester prosessen DNS-oppslag og tilkobling til Cisco Webex-skyen. I distribusjoner med eksplisitte proxy-konfigurasjoner som ikke tillater ekstern DNS-løsning for interne klienter, går noden automatisk inn i modus for blokkert ekstern DNS-løsning hvis den ikke kan spørre DNS-serverne. I denne modusen kan noderegistrering og andre proxy-tilkoblingstester fortsette.
Krav til hybrid datasikkerhet for flere leietakere
Krav til Cisco Webex-lisens
Slik distribuerer du hybrid datasikkerhet for flere leietakere:
- Partnerorganisasjoner: Kontakt Cisco-partneren eller kontoansvarlig din, og sørg for at flerleietakerfunksjonen er aktivert.
-
Leietakerorganisasjoner: Du må ha Pro Pack for Cisco Webex Control Hub. (Se https://www.cisco.com/go/pro-pack.)
Krav til Docker-skrivebordet
Før du installerer HDS-nodene dine, trenger du Docker Desktop for å kjøre et installasjonsprogram. Docker har nylig oppdatert lisensmodellen sin. Organisasjonen din kan kreve et betalt abonnement for Docker Desktop. For mer informasjon, se Docker-blogginnlegget « Docker oppdaterer og utvider produktabonnementene våre».
Kunder uten Docker Desktop-lisens kan bruke et åpen kildekode-verktøy for containeradministrasjon som Podman Desktop til å kjøre, administrere og opprette containere. Se Kjør HDS-oppsettverktøyet med Podman Desktop for detaljer.
Krav til X.509-sertifikat
Sertifikatkjeden må oppfylle følgende krav:
|
Behov |
Detaljer |
|---|---|
|
Som standard stoler vi på CA-ene i Mozilla-listen (med unntak av WoSign og StartCom) på https://wiki.mozilla.org/CA:IncludedCAs. |
|
CN-en trenger ikke å være tilgjengelig eller en live vert. Vi anbefaler at du bruker et navn som gjenspeiler organisasjonen din, for eksempel KN-en må ikke inneholde en * (jokertegn). CN-en brukes til å bekrefte hybriddatasikkerhetsnodene til Webex-appklienter. Alle hybriddatasikkerhetsnodene i klyngen din bruker det samme sertifikatet. KMS-systemet ditt identifiserer seg ved hjelp av CN-domenet, ikke et hvilket som helst domene som er definert i x.509v3 SAN-feltene. Når du har registrert en node med dette sertifikatet, støtter vi ikke endring av CN-domenenavnet. |
|
KMS-programvaren støtter ikke SHA1-signaturer for validering av tilkoblinger til andre organisasjoners KMS-er. |
|
Du kan bruke en konverter som OpenSSL for å endre formatet på sertifikatet ditt. Du må oppgi passordet når du kjører HDS-oppsettverktøyet. |
| Bare RSA-sertifikater støttes. |
KMS-programvaren håndhever ikke begrensninger for nøkkelbruk eller utvidede nøkkelbruk. Noen sertifikatmyndigheter krever at utvidede begrensninger for nøkkelbruk legges til grunn for hvert sertifikat, for eksempel serverautentisering. Det er greit å bruke serverautentisering eller andre innstillinger.
Krav til virtuelle verter
De virtuelle vertene du skal sette opp som hybride datasikkerhetsnoder i klyngen din, har følgende krav:
-
Minst to separate verter (3 anbefalt) samlokalisert i samme sikre datasenter
-
VMware ESXi 7.0 eller 8.0 installert og kjører.
Du må oppgradere hvis du har en tidligere versjon av ESXi.
-
Minimum 4 vCPU-er, 8 GB hovedminne, 30 GB lokal harddiskplass per server
Krav til databaseserver
Opprett en ny database for nøkkellagring. Ikke bruk standarddatabasen. HDS-applikasjonene oppretter databaseskjemaet når de er installert.
Det finnes to alternativer for databaseserveren. Kravene for hver av dem er som følger:
|
PostgreSQL |
Microsoft SQL Server |
|---|---|
|
|
|
Minimum 8 vCPU-er, 16 GB hovedminne, tilstrekkelig harddiskplass og overvåking for å sikre at den ikke overskrides (2 TB anbefales hvis du vil kjøre databasen over lengre tid uten å måtte øke lagringsplassen) |
Minimum 8 vCPU-er, 16 GB hovedminne, tilstrekkelig harddiskplass og overvåking for å sikre at den ikke overskrides (2 TB anbefales hvis du vil kjøre databasen over lengre tid uten å måtte øke lagringsplassen) |
HDS-programvaren installerer for øyeblikket følgende driverversjoner for kommunikasjon med databaseserveren:
|
PostgreSQL |
Microsoft SQL Server |
|---|---|
|
Postgres JDBC-driver 42.2.5 |
SQL Server JDBC-driver 4.6 Denne driverversjonen støtter SQL Server Always On ( Always On Failover Cluster Instances og Always On tilgjengelighetsgrupper). |
Ytterligere krav for Windows-autentisering mot Microsoft SQL Server
Hvis du vil at HDS-noder skal bruke Windows-autentisering for å få tilgang til nøkkeldatabasen din på Microsoft SQL Server, trenger du følgende konfigurasjon i miljøet ditt:
-
HDS-nodene, Active Directory-infrastrukturen og MS SQL Server må alle synkroniseres med NTP.
-
Windows-kontoen du oppgir til HDS-noder må ha read/write tilgang til databasen.
-
DNS-serverne du tilbyr HDS-noder må kunne løse nøkkeldistribusjonssenteret ditt (KDC).
-
Du kan registrere HDS-databaseforekomsten på Microsoft SQL Server som et Service Principal Name (SPN) i Active Directory. Se Registrer et tjenestehovednavn for Kerberos-tilkoblinger.
HDS-oppsettverktøyet, HDS-startprogrammet og det lokale KMS-systemet må alle bruke Windows-autentisering for å få tilgang til nøkkellagerdatabasen. De bruker detaljene fra ISO-konfigurasjonen din til å konstruere SPN-en når de ber om tilgang med Kerberos-autentisering.
Krav til eksterne tilkoblinger
Konfigurer brannmuren din til å tillate følgende tilkobling for HDS-applikasjonene:
|
Søknad |
Protokoll |
Havn |
Veibeskrivelse fra appen |
Destinasjon |
|---|---|---|---|---|
|
Hybride datasikkerhetsnoder |
TCP |
443 |
Utgående HTTPS og WSS |
|
|
HDS-oppsettverktøy |
TCP |
443 |
Utgående HTTPS |
|
Hybrid Data Security-nodene fungerer med nettverkstilgangsoversettelse (NAT) eller bak en brannmur, så lenge NAT-en eller brannmuren tillater de nødvendige utgående tilkoblingene til domenedestinasjonene i den foregående tabellen. For tilkoblinger som går inn til Hybrid Data Security-nodene, skal ingen porter være synlige fra Internett. Innenfor datasenteret ditt trenger klienter tilgang til Hybrid Data Security-nodene på TCP-portene 443 og 22 for administrative formål.
URL-ene for CI-vertene (Common Identity) er regionspesifikke. Dette er de nåværende CI-vertene:
|
Region |
Felles identitetsverts-URL-er |
|---|---|
|
Amerika |
|
|
Den europeiske union |
|
|
Canada |
|
| Singapore |
|
| De forente arabiske emirater |
|
Krav til proxy-server
-
Vi støtter offisielt følgende proxy-løsninger som kan integreres med dine hybride datasikkerhetsnoder.
-
Gjennomsiktig proxy – Cisco Web Security Appliance (WSA).
-
Eksplisitt proxy – blekksprut.
Squid-proxyer som inspiserer HTTPS-trafikk kan forstyrre etableringen av websocket (wss:) forbindelser. For å omgå dette problemet, se Konfigurer Squid-proxyer for hybrid datasikkerhet.
-
-
Vi støtter følgende autentiseringstypekombinasjoner for eksplisitte proxyer:
-
Ingen autentisering med HTTP eller HTTPS
-
Grunnleggende autentisering med HTTP eller HTTPS
-
Digest-autentisering kun med HTTPS
-
-
For en transparent inspiserende proxy eller en eksplisitt HTTPS-proxy må du ha en kopi av proxyens rotsertifikat. Distribusjonsinstruksjonene i denne veiledningen forteller deg hvordan du laster opp kopien til Hybrid Data Security-nodenes klareringslagre.
-
Nettverket som er vert for HDS-nodene må konfigureres til å tvinge utgående TCP-trafikk på port 443 til å rutes gjennom proxyen.
-
Proxyer som inspiserer webtrafikk kan forstyrre web socket-tilkoblinger. Hvis dette problemet oppstår, vil det å omgå (ikke inspisere) trafikk til
wbx2.comogciscospark.comløse problemet.
Fullfør forutsetningene for hybrid datasikkerhet
| 1 |
Sørg for at organisasjonen din ikke har HDS aktivert i Control Hub, og hent legitimasjonen til en konto med full administratorrettigheter som partner. Sørg for at Webex-kundeorganisasjonen din er aktivert for Pro Pack for Cisco Webex Control Hub. Kontakt din Cisco-partner eller kontoansvarlige for å få hjelp med denne prosessen. Kundeorganisasjoner skal ikke ha noen eksisterende HDS-distribusjon. |
| 2 |
Velg et domenenavn for HDS-distribusjonen din (for eksempel |
| 3 |
Forbered identiske virtuelle verter som du vil konfigurere som hybride datasikkerhetsnoder i klyngen din. Du trenger minst to separate verter (3 anbefales) samlokalisert i samme sikre datasenter, som oppfyller kravene i Krav til virtuelle verter. |
| 4 |
Klargjør databaseserveren som skal fungere som nøkkeldatalager for klyngen, i henhold til Databaseserverkrav. Databaseserveren må være samlokalisert i det sikre datasenteret med de virtuelle vertene. |
| 5 |
For rask gjenoppretting etter katastrofer, sett opp et sikkerhetskopieringsmiljø i et annet datasenter. Sikkerhetskopieringsmiljøet speiler produksjonsmiljøet til virtuelle maskiner og en sikkerhetskopieringsdatabaseserver. Hvis for eksempel produksjonen har 3 virtuelle maskiner som kjører HDS-noder, bør sikkerhetskopieringsmiljøet ha 3 virtuelle maskiner. |
| 6 |
Konfigurer en syslog-vert for å samle inn logger fra nodene i klyngen. Hent nettverksadressen og syslog-porten (standard er UDP 514). |
| 7 |
Opprett en sikker sikkerhetskopieringspolicy for Hybrid Data Security-nodene, databaseserveren og syslog-verten. For å forhindre uopprettelig datatap må du som et minimum sikkerhetskopiere databasen og ISO-konfigurasjonsfilen som er generert for Hybrid Data Security-nodene. Fordi hybride datasikkerhetsnoder lagrer nøklene som brukes i kryptering og dekryptering av innhold, vil manglende opprettholdelse av en operativ distribusjon føre til UOPPRETTBART TAP av innholdet. Webex-appklienter bufrer nøklene sine, så et driftsavbrudd er kanskje ikke umiddelbart merkbart, men vil bli tydelig over tid. Selv om midlertidige avbrudd er umulige å forhindre, kan de gjenopprettes. Fullstendig tap (ingen sikkerhetskopier tilgjengelig) av enten databasen eller konfigurasjons-ISO-filen vil imidlertid føre til uopprettelige kundedata. Operatørene av Hybrid Data Security-nodene forventes å opprettholde hyppige sikkerhetskopier av databasen og ISO-konfigurasjonsfilen, og være forberedt på å gjenoppbygge Hybrid Data Security-datasenteret hvis det oppstår en katastrofal feil. |
| 8 |
Sørg for at brannmurkonfigurasjonen din tillater tilkobling for hybriddatasikkerhetsnodene dine som beskrevet i Krav til ekstern tilkobling. |
| 9 |
Installer Docker ( https://www.docker.com) på en hvilken som helst lokal maskin som kjører et støttet operativsystem (Microsoft Windows 10 Professional eller Enterprise 64-bit, eller Mac OSX Yosemite 10.10.3 eller nyere) med en nettleser som har tilgang til det på http://127.0.0.1:8080. Du bruker Docker-forekomsten til å laste ned og kjøre HDS Setup Tool, som bygger den lokale konfigurasjonsinformasjonen for alle Hybrid Data Security-nodene. Du trenger kanskje en Docker Desktop-lisens. Se Krav til Docker Desktop for mer informasjon. For å installere og kjøre HDS Setup Tool, må den lokale maskinen ha tilkoblingsmulighetene som er beskrevet i Krav til ekstern tilkobling. |
| 10 |
Hvis du integrerer en proxy med Hybrid Data Security, må du sørge for at den oppfyller Krav til proxyserver. |
Oppgaveflyt for distribusjon av hybrid datasikkerhet
| 1 |
Utfør første oppsett og last ned installasjonsfiler Last ned OVA-filen til din lokale maskin for senere bruk. |
| 2 |
Opprett en konfigurasjons-ISO for HDS-vertene Bruk HDS-oppsettverktøyet til å opprette en ISO-konfigurasjonsfil for Hybrid Data Security-nodene. |
| 3 |
Opprett en virtuell maskin fra OVA-filen og utfør den første konfigurasjonen, for eksempel nettverksinnstillinger. Alternativet for å konfigurere nettverksinnstillinger under OVA-distribusjon har blitt testet med ESXi 7.0 og 8.0. Alternativet er kanskje ikke tilgjengelig i tidligere versjoner. |
| 4 |
Konfigurer den hybride virtuelle datamaskinen for datasikkerhet Logg på VM-konsollen og angi påloggingslegitimasjonen. Konfigurer nettverksinnstillingene for noden hvis du ikke konfigurerte dem da OVA-distribusjonen ble utført. |
| 5 |
Last opp og monter HDS-konfigurasjons-ISO-en Konfigurer den virtuelle maskinen fra ISO-konfigurasjonsfilen du opprettet med HDS-oppsettverktøyet. |
| 6 |
Konfigurer HDS-noden for proxy-integrasjon Hvis nettverksmiljøet krever proxy-konfigurasjon, angi hvilken type proxy du vil bruke for noden, og legg til proxy-sertifikatet i klareringslageret om nødvendig. |
| 7 |
Registrer den første noden i klyngen Registrer den virtuelle maskinen med Cisco Webex-skyen som en hybrid datasikkerhetsnode. |
| 8 |
Opprett og registrer flere noder Fullfør klyngeoppsettet. |
| 9 |
Aktiver HDS for flere leietakere på partnerhub. Aktiver HDS og administrer leietakerorganisasjoner på Partner Hub. |
Utfør første oppsett og last ned installasjonsfiler
I denne oppgaven laster du ned en OVA-fil til maskinen din (ikke til serverne du har satt opp som hybride datasikkerhetsnoder). Du bruker denne filen senere i installasjonsprosessen.
| 1 |
Logg på Partner Hub, og klikk deretter på Tjenester. |
| 2 |
I Hybrid-delen finner du kortet for hybrid datasikkerhet, og deretter klikker du på Konfigurer. Det er avgjørende for distribusjonsprosessen å klikke på Konfigurer i Partner Hub. Ikke fortsett med installasjonen uten å fullføre dette trinnet. |
| 3 |
Klikk på Legg til en ressurs og klikk på Last ned .OVA-fil på kortet Installer og konfigurer programvare. Eldre versjoner av programvarepakken (OVA) vil ikke være kompatible med de nyeste oppgraderingene for hybrid datasikkerhet. Dette kan føre til problemer under oppgradering av applikasjonen. Sørg for at du laster ned den nyeste versjonen av OVA-filen. Du kan også laste ned OVA når som helst fra Hjelp -delen. Klikk på . Nedlastingen av OVA-filen begynner automatisk. Lagre filen på en plassering på maskinen din.
|
Opprett en konfigurasjons-ISO for HDS-vertene
Konfigurasjonsprosessen for hybrid datasikkerhet oppretter en ISO-fil. Deretter bruker du ISO-filen til å konfigurere Hybrid Data Security-verten din.
Før du begynner
-
HDS-oppsettverktøyet kjører som en Docker-container på en lokal maskin. For å få tilgang til den, kjør Docker på den maskinen. Oppsettprosessen krever påloggingsinformasjonen til en Partner Hub-konto med fulle administratorrettigheter.
Hvis du ikke har en Docker Desktop-lisens, kan du bruke Podman Desktop til å kjøre HDS-oppsettverktøyet for trinn 1 til 5 i prosedyren nedenfor. Se Kjør HDS-oppsettverktøyet med Podman Desktop for detaljer.
Hvis HDS-oppsettverktøyet kjører bak en proxy i miljøet ditt, må du oppgi proxy-innstillingene (server, port, legitimasjon) via Docker-miljøvariabler når du åpner Docker-containeren i trinn 5 nedenfor. Denne tabellen viser noen mulige miljøvariabler:
Beskrivelse
Variabel
HTTP-proxy uten autentisering
GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORTHTTPS-proxy uten autentisering
GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORTHTTP-proxy med autentisering
GLOBAL_AGENT_HTTP_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORTHTTPS-proxy med autentisering
GLOBAL_AGENT_HTTPS_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT -
Konfigurasjons-ISO-filen du genererer inneholder hovednøkkelen som krypterer PostgreSQL- eller Microsoft SQL Server-databasen. Du trenger den nyeste kopien av denne filen hver gang du gjør konfigurasjonsendringer, som disse:
-
Databaselegitimasjon
-
Sertifikatoppdateringer
-
Endringer i autorisasjonspolicyen
-
-
Hvis du planlegger å kryptere databasetilkoblinger, må du konfigurere PostgreSQL- eller SQL Server-distribusjonen din for TLS.
| 1 |
Skriv inn riktig kommando for miljøet ditt på maskinens kommandolinje: I vanlige miljøer: I FedRAMP-miljøer: Dette trinnet rydder opp i tidligere bilder av HDS-oppsettverktøyet. Hvis det ikke finnes noen tidligere bilder, returnerer den en feil som du kan ignorere. | ||||||||||
| 2 |
For å logge på Docker-avbildningsregisteret, skriv inn følgende: | ||||||||||
| 3 |
Ved passordledeteksten skriver du inn denne hashen: | ||||||||||
| 4 |
Last ned det nyeste stabile bildet for miljøet ditt: I vanlige miljøer: I FedRAMP-miljøer: | ||||||||||
| 5 |
Når hentingen er fullført, skriver du inn riktig kommando for miljøet ditt:
Når containeren kjører, ser du «Express-server lytter på port 8080». | ||||||||||
| 6 |
Installasjonsverktøyet støtter ikke tilkobling til localhost via http://localhost:8080. Bruk http://127.0.0.1:8080 for å koble til localhost. Bruk en nettleser til å gå til localhost, Verktøyet bruker denne første oppføringen av brukernavnet til å angi riktig miljø for den kontoen. Verktøyet viser deretter standard påloggingsledetekst. | ||||||||||
| 7 |
Når du blir bedt om det, skriver du inn påloggingsinformasjonen for Partner Hub-administratoren, og klikker deretter på Logg inn for å gi tilgang til de nødvendige tjenestene for Hybrid Data Security. | ||||||||||
| 8 |
På oversiktssiden for oppsettverktøyet klikker du på Kom i gang. | ||||||||||
| 9 |
På siden ISO-import har du disse alternativene:
| ||||||||||
| 10 |
Sjekk at X.509-sertifikatet ditt oppfyller kravene i Krav til X.509-sertifikat.
| ||||||||||
| 11 |
Skriv inn databaseadressen og kontoen som HDS bruker for å få tilgang til nøkkeldatalageret ditt: | ||||||||||
| 12 |
Velg en TLS-databasetilkoblingsmodus:
Når du laster opp rotsertifikatet (hvis nødvendig) og klikker på Fortsett, tester HDS-oppsettverktøyet TLS-tilkoblingen til databaseserveren. Verktøyet verifiserer også sertifikatsigneren og vertsnavnet, hvis aktuelt. Hvis en test mislykkes, viser verktøyet en feilmelding som beskriver problemet. Du kan velge om du vil ignorere feilen og fortsette med oppsettet. (På grunn av tilkoblingsforskjeller kan HDS-nodene kanskje opprette TLS-tilkoblingen selv om HDS Setup Tool-maskinen ikke kan teste den.) | ||||||||||
| 13 |
På siden Systemlogger konfigurerer du Syslogd-serveren din: | ||||||||||
| 14 |
(Valgfritt) Du kan endre standardverdien for noen databasetilkoblingsparametere i Avanserte innstillinger. Vanligvis er denne parameteren den eneste du kanskje vil endre: | ||||||||||
| 15 |
Klikk på Fortsett på skjermbildet Tilbakestill passord for tjenestekontoer. Passord for tjenestekontoer har en levetid på ni måneder. Bruk denne skjermen når passordene dine nærmer seg utløpsdatoen, eller du vil tilbakestille dem for å ugyldiggjøre tidligere ISO-filer. | ||||||||||
| 16 |
Klikk på Last ned ISO-fil. Lagre filen på et sted som er lett å finne. | ||||||||||
| 17 |
Lag en sikkerhetskopi av ISO-filen på ditt lokale system. Oppbevar sikkerhetskopien sikkert. Denne filen inneholder en hovedkrypteringsnøkkel for databaseinnholdet. Begrens tilgangen til kun de administratorene for hybrid datasikkerhet som skal gjøre konfigurasjonsendringer. | ||||||||||
| 18 |
For å avslutte installasjonsverktøyet, skriv |
Hva du skal gjøre nå
Sikkerhetskopier konfigurasjons-ISO-filen. Du trenger det for å opprette flere noder for gjenoppretting, eller for å gjøre konfigurasjonsendringer. Hvis du mister alle kopiene av ISO-filen, har du også mistet hovednøkkelen. Det er ikke mulig å gjenopprette nøklene fra PostgreSQL- eller Microsoft SQL Server-databasen.
Vi har aldri en kopi av denne nøkkelen, og kan ikke hjelpe deg hvis du mister den.
Installer HDS Host OVA
| 1 |
Bruk VMware vSphere-klienten på datamaskinen din for å logge på den virtuelle ESXi-verten. |
| 2 |
Velg Fil > Distribuer OVF-mal. |
| 3 |
I veiviseren angir du plasseringen til OVA-filen du lastet ned tidligere, og klikker deretter på Neste. |
| 4 |
På siden Velg et navn og en mappe skriver du inn et navn på en virtuell maskin for noden (for eksempel "HDS_Node_1"), velger en plassering der distribusjonen av den virtuelle maskinnoden kan befinne seg, og klikker deretter på Neste. |
| 5 |
På siden Velg en beregningsressurs velger du målberegningsressursen og klikker deretter på Neste. En valideringskontroll kjøres. Når det er ferdig, vises maldetaljene. |
| 6 |
Bekreft maldetaljene og klikk deretter på Neste. |
| 7 |
Hvis du blir bedt om å velge ressurskonfigurasjon på siden Konfigurasjon, klikker du på 4 CPU og deretter på Neste. |
| 8 |
På siden Velg lagring klikker du på Neste for å godta standard diskformat og lagringspolicy for virtuell maskin. |
| 9 |
På siden Velg nettverk velger du nettverksalternativet fra listen over oppføringer for å gi ønsket tilkobling til den virtuelle maskinen. |
| 10 |
På siden Tilpass mal konfigurerer du følgende nettverksinnstillinger:
Hvis du foretrekker det, kan du hoppe over konfigurasjonen av nettverksinnstillingene og følge trinnene i Konfigurer den virtuelle hybriddatasikkerhetsmaskinen for å konfigurere innstillingene fra nodekonsollen. Alternativet for å konfigurere nettverksinnstillinger under OVA-distribusjon har blitt testet med ESXi 7.0 og 8.0. Alternativet er kanskje ikke tilgjengelig i tidligere versjoner. |
| 11 |
Høyreklikk på nodens virtuelle maskin, og velg deretter . Hybrid Data Security-programvaren installeres som gjest på VM-verten. Du er nå klar til å logge på konsollen og konfigurere noden. Feilsøkingstips Du kan oppleve en forsinkelse på noen få minutter før nodecontainerne dukker opp. En melding om en brobrannmur vises på konsollen under første oppstart, og du kan ikke logge på i løpet av denne tiden. |
Konfigurer den hybride virtuelle datamaskinen for datasikkerhet
Bruk denne prosedyren for å logge på Hybrid Data Security-nodens virtuelle konsoll for første gang og angi påloggingslegitimasjonen. Du kan også bruke konsollen til å konfigurere nettverksinnstillingene for noden hvis du ikke konfigurerte dem da OVA-distribusjonen ble utført.
| 1 |
I VMware vSphere-klienten velger du den virtuelle maskinen for hybrid datasikkerhetsnoden og velger fanen Konsoll. VM-en starter opp, og en påloggingsledetekst vises. Hvis påloggingsledeteksten ikke vises, trykk Enter.
|
| 2 |
Bruk følgende standardbrukernavn og passord for å logge på og endre påloggingsinformasjonen: Siden du logger på den virtuelle maskinen for første gang, må du endre administratorpassordet. |
| 3 |
Hvis du allerede har konfigurert nettverksinnstillingene i Installer HDS Host OVA, hopper du over resten av denne prosedyren. Ellers velger du alternativet Rediger konfigurasjon i hovedmenyen. |
| 4 |
Sett opp en statisk konfigurasjon med IP-adresse, maske, gateway og DNS-informasjon. Noden din skal ha en intern IP-adresse og et DNS-navn. DHCP støttes ikke. |
| 5 |
(Valgfritt) Endre vertsnavn, domene eller NTP-server(e) om nødvendig for å samsvare med nettverkspolicyen din. Du trenger ikke å angi domenet slik at det samsvarer med domenet du brukte for å hente X.509-sertifikatet. |
| 6 |
Lagre nettverkskonfigurasjonen og start den virtuelle maskinen på nytt slik at endringene trer i kraft. |
Last opp og monter HDS-konfigurasjons-ISO-en
Før du begynner
Fordi ISO-filen inneholder hovednøkkelen, bør den bare eksponeres ved behov, for tilgang av de virtuelle hybriddatasikkerhetsmaskinene og eventuelle administratorer som måtte trenge å gjøre endringer. Sørg for at bare disse administratorene har tilgang til datalageret.
| 1 |
Last opp ISO-filen fra datamaskinen din: |
| 2 |
Monter ISO-filen: |
Hva du skal gjøre nå
Hvis IT-policyen din krever det, kan du eventuelt avmontere ISO-filen etter at alle nodene dine har plukket opp konfigurasjonsendringene. Se (Valgfritt) Avmonter ISO etter HDS-konfigurasjon for detaljer.
Konfigurer HDS-noden for proxy-integrasjon
Hvis nettverksmiljøet krever en proxy, bruk denne prosedyren for å angi typen proxy du vil integrere med Hybrid Data Security. Hvis du velger en transparent inspeksjonsproxy eller en eksplisitt HTTPS-proxy, kan du bruke nodens grensesnitt til å laste opp og installere rotsertifikatet. Du kan også sjekke proxy-tilkoblingen fra grensesnittet og feilsøke eventuelle problemer.
Før du begynner
-
Se Proxy-støtte for en oversikt over de støttede proxy-alternativene.
| 1 |
Skriv inn URL-adressen for oppsett av HDS-noden |
| 2 |
Gå til Trust Store & Proxy, og velg deretter et alternativ:
Følg de neste trinnene for en transparent inspeksjonsproxy, en eksplisitt HTTP-proxy med grunnleggende autentisering eller en eksplisitt HTTPS-proxy. |
| 3 |
Klikk på Last opp et rotsertifikat eller et sluttenhetssertifikat, og naviger deretter til og velg rotsertifikatet for proxyen. Sertifikatet er lastet opp, men ikke installert ennå, fordi du må starte noden på nytt for å installere sertifikatet. Klikk på vinkelpilen ved siden av sertifikatutstederens navn for å få mer informasjon, eller klikk på Slett hvis du har gjort en feil og vil laste opp filen på nytt. |
| 4 |
Klikk på Sjekk proxy-tilkobling for å teste nettverkstilkoblingen mellom noden og proxyen. Hvis tilkoblingstesten mislykkes, vil du se en feilmelding som viser årsaken og hvordan du kan løse problemet. Hvis du ser en melding som sier at ekstern DNS-løsning ikke var vellykket, klarte ikke noden å nå DNS-serveren. Denne betingelsen er forventet i mange eksplisitte proxy-konfigurasjoner. Du kan fortsette med oppsettet, og noden vil fungere i modus for blokkert ekstern DNS-løsning. Hvis du tror dette er en feil, fullfør disse trinnene, og se deretter Slå av blokkert ekstern DNS-oppløsningsmodus. |
| 5 |
Etter at tilkoblingstesten er bestått, for eksplisitt proxy satt til kun https, slå veksleknappen på Rut alle porter 443/444 https-forespørsler fra denne noden gjennom den eksplisitte proxyen. Denne innstillingen krever 15 sekunder for å tre i kraft. |
| 6 |
Klikk på Installer alle sertifikater i klareringslageret (vises for en eksplisitt HTTPS-proxy eller en transparent inspiserende proxy) eller Start på nytt (vises for en eksplisitt HTTP-proxy), les ledeteksten, og klikk deretter på Installer hvis du er klar. Noden starter på nytt innen få minutter. |
| 7 |
Etter at noden har startet på nytt, logg inn igjen om nødvendig, og åpne deretter siden Oversikt for å sjekke tilkoblingskontrollene og sørge for at de alle har grønn status. Proxy-tilkoblingskontrollen tester bare et underdomene av webex.com. Hvis det er tilkoblingsproblemer, er et vanlig problem at noen av skydomenene som er oppført i installasjonsinstruksjonene, blokkeres av proxy-tjeneren. |
Registrer den første noden i klyngen
Når du registrerer din første node, oppretter du en klynge som noden er tilordnet. En klynge inneholder én eller flere noder som er distribuert for å gi redundans.
Før du begynner
-
Når du har startet registreringen av en node, må du fullføre den innen 60 minutter, ellers må du starte på nytt.
-
Sørg for at eventuelle popup-blokkeringer i nettleseren din er deaktivert, eller at du tillater et unntak for admin.webex.com.
| 1 |
Logg inn på https://admin.webex.com. |
| 2 |
Fra menyen på venstre side av skjermen velger du Tjenester. |
| 3 |
I Hybrid-delen finner du Hybrid Data Security-kortet og klikker på Konfigurer. |
| 4 |
På siden som åpnes, klikk på Legg til en ressurs. |
| 5 |
I det første feltet på kortet Opprett en ny klynge skriver du inn et navn for klyngen du vil tilordne Hybrid Data Security-noden til. Vi anbefaler at du navngir en klynge basert på hvor nodene i klyngen befinner seg geografisk. Eksempler: «San Francisco» eller «New York» eller «Dallas» |
| 6 |
I det andre feltet skriver du inn den interne IP-adressen eller det fullstendig kvalifiserte domenenavnet (FQDN) til noden din og klikker på Legg til nederst på skjermen. Denne IP-adressen eller FQDN-en skal samsvare med IP-adressen eller vertsnavnet og domenet du brukte i Konfigurer den hybride virtuelle datamaskinen for datasikkerhet. Det vises en melding som angir at du kan registrere noden din i Webex.
|
| 7 |
Klikk på Gå til node. Etter noen få øyeblikk blir du omdirigert til nodetilkoblingstestene for Webex-tjenester. Hvis alle testene er vellykkede, vises siden Tillat tilgang til hybrid datasikkerhetsnode. Der bekrefter du at du vil gi Webex-organisasjonen din tillatelse til å få tilgang til noden din. |
| 8 |
Merk av i boksen Tillat tilgang til hybrid datasikkerhetsnode, og klikk deretter på Fortsett. Kontoen din er validert, og meldingen «Registrering fullført» indikerer at noden din nå er registrert i Webex-skyen.
|
| 9 |
Klikk på lenken eller lukk fanen for å gå tilbake til Partner Hub Hybrid Data Security-siden. På siden Hybrid datasikkerhet vises den nye klyngen som inneholder noden du registrerte, under fanen Ressurser. Noden vil automatisk laste ned den nyeste programvaren fra skyen.
|
Opprett og registrer flere noder
Før du begynner
-
Når du har startet registreringen av en node, må du fullføre den innen 60 minutter, ellers må du starte på nytt.
-
Sørg for at eventuelle popup-blokkeringer i nettleseren din er deaktivert, eller at du tillater et unntak for admin.webex.com.
| 1 |
Opprett en ny virtuell maskin fra OVA-en, og gjenta trinnene i Installer HDS Host OVA. |
| 2 |
Konfigurer den første konfigurasjonen på den nye virtuelle maskinen, og gjenta trinnene i Konfigurer den hybride virtuelle maskinen for datasikkerhet. |
| 3 |
Gjenta trinnene i Last opp og monter HDS-konfigurasjons-ISOpå den nye virtuelle maskinen. |
| 4 |
Hvis du konfigurerer en proxy for distribusjonen din, gjenta trinnene i Konfigurer HDS-noden for proxy-integrasjon etter behov for den nye noden. |
| 5 |
Registrer noden. |
Hva du skal gjøre nå
Aktiver flerleietaker-HDS på partnerhub
Denne oppgaven sikrer at alle brukere i kundeorganisasjonene kan begynne å utnytte HDS for lokale krypteringsnøkler og andre sikkerhetstjenester.
Før du begynner
Sørg for at du har fullført oppsettet av HDS-klyngen med flere leietakere med det nødvendige antallet noder.
| 1 |
Logg inn på https://admin.webex.com. |
| 2 |
Fra menyen på venstre side av skjermen velger du Tjenester. |
| 3 |
I Hybrid-delen finner du Hybrid datasikkerhet og klikker på Rediger innstillinger. |
| 4 |
Klikk på Aktiver HDS på kortet HDS-status. |
Legg til leietakerorganisasjoner i Partner Hub
I denne oppgaven tilordner du kundeorganisasjoner til din hybride datasikkerhetsklynge.
| 1 |
Logg inn på https://admin.webex.com. |
| 2 |
Fra menyen på venstre side av skjermen velger du Tjenester. |
| 3 |
I Hybrid-delen finner du Hybrid datasikkerhet og klikker på Vis alle. |
| 4 |
Gå til fanen Tildelte kunder. Fanen Tildelte kunder vises ikke før du oppretter en klynge. |
| 5 |
Klikk på Legg til kunder. |
| 6 |
Velg kunden du vil legge til fra rullegardinmenyen. |
| 7 |
Klikk på Legg til, kunden vil bli lagt til i klyngen. |
| 8 |
Gjenta trinn 5 til 7 for å legge til flere kunder i klyngen din. |
| 9 |
Klikk på Ferdig nederst på skjermen når du har lagt til kundene. Kunder som legges til, vil bli synkronisert på tvers av alle tilgjengelige klynger. |
Hva du skal gjøre nå
Opprett kundens hovednøkler (CMK-er) ved hjelp av HDS-oppsettverktøyet
Før du begynner
Tilordne kunder som beskrevet i Legge til leietakerorganisasjoner i partnerhub. Kjør HDS-oppsettverktøyet for å fullføre oppsettprosessen for de nylig tillagte kundeorganisasjonene.
-
HDS-oppsettverktøyet kjører som en Docker-container på en lokal maskin. For å få tilgang til den, kjør Docker på den maskinen. Konfigurasjonsprosessen krever legitimasjonen til en Partner Hub-konto med fulle administratorrettigheter for organisasjonen din.
Hvis HDS-oppsettverktøyet kjører bak en proxy i miljøet ditt, må du oppgi proxy-innstillingene (server, port, legitimasjon) via Docker-miljøvariabler når du åpner Docker-containeren i trinn 5. Denne tabellen viser noen mulige miljøvariabler:
Beskrivelse
Variabel
HTTP-proxy uten autentisering
GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORTHTTPS-proxy uten autentisering
GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORTHTTP-proxy med autentisering
GLOBAL_AGENT_HTTP_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORTHTTPS-proxy med autentisering
GLOBAL_AGENT_HTTPS_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT -
Konfigurasjons-ISO-filen du genererer inneholder hovednøkkelen som krypterer PostgreSQL- eller Microsoft SQL Server-databasen. Du trenger den nyeste kopien av denne filen hver gang du gjør konfigurasjonsendringer, som disse:
-
Databaselegitimasjon
-
Sertifikatoppdateringer
-
Endringer i autorisasjonspolicyen
-
-
Hvis du planlegger å kryptere databasetilkoblinger, må du konfigurere PostgreSQL- eller SQL Server-distribusjonen din for TLS.
Konfigurasjonsprosessen for hybrid datasikkerhet oppretter en ISO-fil. Deretter bruker du ISO-filen til å konfigurere Hybrid Data Security-verten din.
| 1 |
Skriv inn riktig kommando for miljøet ditt på maskinens kommandolinje: I vanlige miljøer: I FedRAMP-miljøer: Dette trinnet rydder opp i tidligere bilder av HDS-oppsettverktøyet. Hvis det ikke finnes noen tidligere bilder, returnerer den en feil som du kan ignorere. |
| 2 |
For å logge på Docker-avbildningsregisteret, skriv inn følgende: |
| 3 |
Ved passordledeteksten skriver du inn denne hashen: |
| 4 |
Last ned det nyeste stabile bildet for miljøet ditt: I vanlige miljøer: I FedRAMP-miljøer: |
| 5 |
Når hentingen er fullført, skriver du inn riktig kommando for miljøet ditt:
Når containeren kjører, ser du «Express-server lytter på port 8080». |
| 6 |
Installasjonsverktøyet støtter ikke tilkobling til localhost via http://localhost:8080. Bruk http://127.0.0.1:8080 for å koble til localhost. Bruk en nettleser til å gå til localhost, Verktøyet bruker denne første oppføringen av brukernavnet til å angi riktig miljø for den kontoen. Verktøyet viser deretter standard påloggingsledetekst. |
| 7 |
Når du blir bedt om det, skriver du inn påloggingsinformasjonen for Partner Hub-administratoren, og klikker deretter på Logg inn for å gi tilgang til de nødvendige tjenestene for Hybrid Data Security. |
| 8 |
På oversiktssiden for oppsettverktøyet klikker du på Kom i gang. |
| 9 |
På siden ISO-import klikker du på Ja. |
| 10 |
Velg ISO-filen din i nettleseren og last den opp. Sørg for tilkobling til databasen din for å utføre CMK-administrasjon. |
| 11 |
Gå til fanen Leietaker-CMK-administrasjon, der du finner følgende tre måter å administrere Leietaker-CMK-er på.
|
| 12 |
Når CMK-opprettelsen er vellykket, endres statusen i tabellen fra CMK-administrasjon venter til CMK-administrert. |
| 13 |
Hvis opprettelsen av CMK mislykkes, vises en feilmelding. |
Fjern leietakerorganisasjoner
Før du begynner
Når den er fjernet, vil ikke brukere av kundeorganisasjoner kunne bruke HDS til sine krypteringsbehov, og de vil miste alle eksisterende plasser. Før du fjerner kundeorganisasjoner, må du kontakte Cisco-partneren eller kontoansvarlig.
| 1 |
Logg inn på https://admin.webex.com. |
| 2 |
Fra menyen på venstre side av skjermen velger du Tjenester. |
| 3 |
I Hybrid-delen finner du Hybrid datasikkerhet og klikker på Vis alle. |
| 4 |
På siden som åpnes, klikk på fanen Tildelte kunder. |
| 5 |
Fra listen over kundeorganisasjoner som vises, klikk på |
Hva du skal gjøre nå
Fullfør fjerningsprosessen ved å tilbakekalle CMK-ene til kundeorganisasjonene som beskrevet i Tilbakekalle CMK-er for leietakere fjernet fra HDS.
Tilbakekall CMK-er for leietakere som er fjernet fra HDS.
Før du begynner
Fjern kunder som beskrevet i Fjern leietakerorganisasjoner. Kjør HDS-oppsettverktøyet for å fullføre fjerningsprosessen for kundeorganisasjonene som ble fjernet.
-
HDS-oppsettverktøyet kjører som en Docker-container på en lokal maskin. For å få tilgang til den, kjør Docker på den maskinen. Konfigurasjonsprosessen krever legitimasjonen til en Partner Hub-konto med fulle administratorrettigheter for organisasjonen din.
Hvis HDS-oppsettverktøyet kjører bak en proxy i miljøet ditt, må du oppgi proxy-innstillingene (server, port, legitimasjon) via Docker-miljøvariabler når du åpner Docker-containeren i trinn 5. Denne tabellen viser noen mulige miljøvariabler:
Beskrivelse
Variabel
HTTP-proxy uten autentisering
GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORTHTTPS-proxy uten autentisering
GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORTHTTP-proxy med autentisering
GLOBAL_AGENT_HTTP_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORTHTTPS-proxy med autentisering
GLOBAL_AGENT_HTTPS_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT -
Konfigurasjons-ISO-filen du genererer inneholder hovednøkkelen som krypterer PostgreSQL- eller Microsoft SQL Server-databasen. Du trenger den nyeste kopien av denne filen hver gang du gjør konfigurasjonsendringer, som disse:
-
Databaselegitimasjon
-
Sertifikatoppdateringer
-
Endringer i autorisasjonspolicyen
-
-
Hvis du planlegger å kryptere databasetilkoblinger, må du konfigurere PostgreSQL- eller SQL Server-distribusjonen din for TLS.
Konfigurasjonsprosessen for hybrid datasikkerhet oppretter en ISO-fil. Deretter bruker du ISO-filen til å konfigurere Hybrid Data Security-verten din.
| 1 |
Skriv inn riktig kommando for miljøet ditt på maskinens kommandolinje: I vanlige miljøer: I FedRAMP-miljøer: Dette trinnet rydder opp i tidligere bilder av HDS-oppsettverktøyet. Hvis det ikke finnes noen tidligere bilder, returnerer den en feil som du kan ignorere. |
| 2 |
For å logge på Docker-avbildningsregisteret, skriv inn følgende: |
| 3 |
Ved passordledeteksten skriver du inn denne hashen: |
| 4 |
Last ned det nyeste stabile bildet for miljøet ditt: I vanlige miljøer: I FedRAMP-miljøer: |
| 5 |
Når hentingen er fullført, skriver du inn riktig kommando for miljøet ditt:
Når containeren kjører, ser du «Express-server lytter på port 8080». |
| 6 |
Installasjonsverktøyet støtter ikke tilkobling til localhost via http://localhost:8080. Bruk http://127.0.0.1:8080 for å koble til localhost. Bruk en nettleser til å gå til localhost, Verktøyet bruker denne første oppføringen av brukernavnet til å angi riktig miljø for den kontoen. Verktøyet viser deretter standard påloggingsledetekst. |
| 7 |
Når du blir bedt om det, skriver du inn påloggingsinformasjonen for Partner Hub-administratoren, og klikker deretter på Logg inn for å gi tilgang til de nødvendige tjenestene for Hybrid Data Security. |
| 8 |
På oversiktssiden for oppsettverktøyet klikker du på Kom i gang. |
| 9 |
På siden ISO-import klikker du på Ja. |
| 10 |
Velg ISO-filen din i nettleseren og last den opp. |
| 11 |
Gå til fanen Leietaker-CMK-administrasjon, der du finner følgende tre måter å administrere Leietaker-CMK-er på.
|
| 12 |
Når CMK-tilbakekallingen er vellykket, vil ikke kundeorganisasjonen lenger vises i tabellen. |
| 13 |
Hvis CMK-tilbakekalling mislykkes, vises en feilmelding. |
Test din hybride datasikkerhetsimplementering
Før du begynner
-
Konfigurer din hybride datasikkerhetsdistribusjon for flere leietakere.
-
Sørg for at du har tilgang til sysloggen for å bekrefte at nøkkelforespørsler sendes til Multi-Tenant Hybrid Data Security-distribusjonen din.
| 1 |
Nøkler for et gitt område angis av den som har opprettet området. Logg på Webex-appen som en av brukerne i kundeorganisasjonen, og opprett deretter et område. Hvis du deaktiverer distribusjonen av Hybrid Data Security, vil innhold i områder som brukere oppretter ikke lenger være tilgjengelig når de klientbufrede kopiene av krypteringsnøklene er erstattet. |
| 2 |
Send meldinger til det nye rommet. |
| 3 |
Sjekk syslog-utdataene for å bekrefte at nøkkelforespørslene sendes til Hybrid Data Security-distribusjonen din. Hvis en bruker av en nylig tillagt kundeorganisasjon utfører en handling, vil organisasjonens organisasjons-ID vises i loggene, og dette kan brukes til å bekrefte at organisasjonen bruker Multi-Tenant HDS. Sjekk verdien til |
Tolkning av HDS-logger og forståelse av agentetiketter
HDS-logger gir detaljert informasjon om KMS-forespørsler. Disse loggene inneholder ulike felt som bidrar til å identifisere forespørselens art og den tilhørende identiteten. Å forstå disse feltene er avgjørende for å tolke aktiviteter riktig og pålitelige interne operasjoner.
Terminologi
For å sikre klarhet når du gjennomgår HDS-logger, er det viktig å forstå følgende begreper:
| Periode | Definisjon |
|---|---|
| Tjenestekonto | En tjenesteidentitet som lar Webex-tjenester utføre autoriserte handlinger på en sikker måte. |
| Agent | En tjenesteenhet eller tjenestekontoidentitet som brukes til å utføre automatiserte operasjoner i HDS-miljøet. |
| Agentetikett | En tagg inkludert i HDS-logger som identifiserer den spesifikke kilden og typen til en innkommende forespørsel, noe som muliggjør effektiv revisjon av tilgangskontroll. |
| Delegert tilgang | En autorisert tjenestekonto som sender en forespørsel for en bestemt bruker, innenfor den brukerens tillatelser. Vises som en delegeringsforespørsel: agent -> userid. |
Begrepet «Agent» i denne sammenhengen refererer spesifikt til HDS-tjenesteidentiteter. Disse er ikke relatert til de AI-drevne agentene som brukes i andre Webex-funksjoner.
En forespørsel behandles bare når den kommer fra:
- en autentisert bruker i organisasjonen din, eller
- en tjenestekonto som befinner seg i, og er autorisert av, organisasjonen din.
Oversikt over loggfelt
| Felt | Hva det representerer |
|---|---|
| Tidsstempel | Dato og klokkeslett for operasjonen. |
| kms.data.metode | KMS-operasjonen som ble utført (f.eks. henting). |
| kms.data.orgld | Organisasjonsidentifikator. |
| kms.data.httpBrukeragent | Klienten eller tjenesten som fremsetter forespørselen. |
| WEBEX_SPORINGS-ID | Unik sporingsidentifikator for forespørselen. |
| kms.data.uriHost / kms.data.uri | Verten og ressursen som forespørselen er rettet mot. |
| kms.data.userld | Identiteten som utfører forespørselen, inkludert en agentetikett. |
| kms.response.suksess | Angir om forespørselen lyktes. |
Forespørselstyper – hurtigreferanse
| Tagg i logg | Agentetikett | Hva det representerer | Typiske operasjoner |
|---|---|---|---|
| Brukertype: brukerAgent | Brukeragent | En klarert tjenestekonto knyttet til en brukerarbeidsflyt, begrenset til organisasjonen din. | Creating/managing nøkler for en brukerprosess. |
| o-agent <id> -> bruker-ID <id> | Organisasjonsagent | En klarert tjenestekonto på organisasjonsnivå som bruker delegert tilgang. | Samsvarsansvarligs uttrekk av Webex-data, kalenderintegrasjoner. |
| c-agent <id> -> bruker-ID <id> | Skyagent | En Webex-tjeneste som utfører en delegert forespørsel for en bestemt bruker. | Virusskanning, forhåndsvisning av innhold, transkripsjoner. |
| c-agent <id> | Skyagent | En Webex-tjeneste som utfører en delegert forespørsel. | ECDHE / øktnøkler. |
| Sluttbrukerens UUID | - | Den autentiserte sluttbrukeren som samhandler med HDS. | En bruker henter sin egen nøkkel. |
Forespørselstyper – i detalj
Agentetiketter kategoriserer kilden til forespørselen og hjelper med å bestemme riktige tilgangskontroller. Følgende eksempler viser flere forespørselstyper og agentetikettene som er knyttet til dem.
-
Brukeragent (brukeragent):
Dette er klarerte Webex-tjenestekontoer som er knyttet til spesifikke brukerarbeidsflyter og er begrenset til kundeorganisasjonen. De brukes vanligvis når en tjeneste oppretter og administrerer nøkler på vegne av en brukerarbeidsflyt.
Eksempellogg:
2026-06-18 10:58:14.405 (+0000) INFO KMS [pool-21-thread-110] - User: b[~]4 User Type: userAgent WEBEX_TRACKINGID=MsftPresence_6[~]9, kms.data.method=create, kms.merc.id=5[~]8, kms.merc.sync=false, kms.data.uriHost=null, kms.data.type=RESOURCE_COLLECTION, kms.data.requestId=b[~]4, kms.data.orgId=null, kms.data.uri=/resources, kms.data.userId=3[~]6, kms.data.httpUserAgent=Nøkkelindikator: Eksempelloggen viser en brukeragent (
userAgent) som utfører ressursinnsamlingsoperasjoner for en Webex-tjeneste. -
Organisasjonsagent (o-agent):
Disse pålitelige Webex-tjenestekontoene er autorisert til å utføre delegerte operasjoner på vegne av brukere i HDS. Disse kontoene er knyttet til kundeorganisasjonen og utfører operasjoner på organisasjonsnivå. Denne funksjonaliteten støtter flere funksjoner, for eksempel å la samsvarsansvarlige søke og trekke ut Webex-kommunikasjonsdata – noe som sikrer organisatorisk samsvar med forskriftsmessige, sikkerhets- og personvernstandarder.
Eksempellogg:
2026-06-18 11:24:53.034 (+0000) INFO KMS [pool-19-thread-118] - WEBEX_TRACKINGID=ccc_8[~]c, kms.data.method=retrieve, kms.merc.id=2[~]a, kms.merc.sync=false, kms.data.uriHost=hds2.org5.portun.us, kms.data.type=KEY, kms.data.requestId=1[~]2, kms.data.orgId=null, kms.data.uri=kms://hds2.org5.portun.us/keys/d[~]7, kms.data.userId=o-agent 9[~]c -> userid 4[~]b, kms.data.httpUserAgent=Nøkkelindikator: Eksempelloggen viser en organisasjonsagent (
o-agent 9[~]c) som henter en nøkkel på vegne av brukeren (4[~]b) for en Webex-tjeneste. - Skyagent (c-agent):
Disse pålitelige Webex-tjenestekontoene er autorisert til å utføre operasjoner på HDS via delegert tilgang på vegne av en bruker. De støtter viktige funksjoner – som opptak etter møter, transkripsjoner, skanning mot skadelig programvare og forhåndsvisning av filer – som forbedrer den generelle brukeropplevelsen.
Selv om Cloud Agents kan deaktiveres ved å endre ISO-en, bør kunder være oppmerksomme på at dette vil føre til tap av funksjoner, for eksempel opptak etter møter, transkripsjoner, forhåndsvisninger av filer og automatisert skanning etter skadelig programvare i Webex App Spaces. Hvis du vil ha mer informasjon, kan du se delen Deaktiver skyagenter.
Eksempellogg:
2026-06-18 11:27:59.388 (+0000) INFO KMS [pool-19-thread-56] - WEBEX_TRACKINGID=CLIENT_2[~]e, kms.data.method=retrieve, kms.merc.id=b[~]c, kms.merc.sync=false, kms.data.uriHost=hds2.org5.portun.us, kms.data.type=KEY, kms.data.requestId=0[~]6, kms.data.orgId=null, kms.data.uri=kms://hds2.org5.portun.us/keys/e[~]e, kms.data.userId=c-agent b[~]c -> userid 9[~]c, kms.data.httpUserAgent=Nøkkelindikator: Eksempelloggen viser en skyagent (
c-agent b[~]c) som henter en innholdsnøkkel på vegne av brukeren (9[~]c). -
Direkte interaksjon med sluttbrukere:
En autentisert bruker som samhandler direkte med HDS.
Eksempellogg:
2026-06-18 11:29:39.858 (+0000) INFO KMS [pool-19-thread-141] - kms.data.method=retrieve, kms.merc.id=a[~]d, kms.merc.sync=false, kms.data.orgId=null, kms.data.httpUserAgent=, WEBEX_TRACKINGID=CLIENT_7[~]e, kms.data.uriHost=hds2.org5.portun.us, kms.data.type=KEY, kms.data.requestId=1[~]a, kms.response.destination=https://wdm-a.wbx2.com/wdm/api/v1/devices/1[~]e, kms.response.resourceuri=null, kms.data.uri=kms://hds2.org5.portun.us/keys/b[~]b, kms.data.userId=c[~]f, kms.response.success=true Nøkkelindikator: Eksempelloggen viser en sluttbruker (
c[~]f) som henter en nøkkel og samhandler direkte med HDS.
Overvåk hybrid datasikkerhetshelse
| 1 |
I Partnerhubvelger du Tjenester fra menyen på venstre side av skjermen. |
| 2 |
I Hybrid-delen finner du Hybrid datasikkerhet og klikker på Rediger innstillinger. Siden Innstillinger for hybrid datasikkerhet vises.
|
| 3 |
I delen E-postvarsler skriver du inn én eller flere e-postadresser atskilt med komma, og trykker på Enter. |
Administrer HDS-distribusjon
Bruk oppgavene som er beskrevet her til å administrere hybrid datasikkerhetsdistribusjonen din.
Angi en tidsplan for klyngeoppgradering
Slik angir du oppgraderingsplanen:
| 1 |
Logg inn på Partner Hub. |
| 2 |
Fra menyen på venstre side av skjermen velger du Tjenester. |
| 3 |
I Hybrid-delen finner du Hybrid datasikkerhet og klikker på Konfigurer |
| 4 |
På siden Hybride datasikkerhetsressurser velger du klyngen. |
| 5 |
Klikk på fanen Klyngeinnstillinger. |
| 6 |
På siden Klyngeinnstillinger, under Oppgraderingsplan, velger du klokkeslett og tidssone for oppgraderingsplanen. Merknad: Under tidssonen vises neste tilgjengelige oppgraderingsdato og -klokkeslett. Du kan utsette oppgraderingen til neste dag om nødvendig ved å klikke på Utsett med 24 timer. |
Endre nodekonfigurasjonen
-
Endring av x.509-sertifikater på grunn av utløp eller andre årsaker.
Vi støtter ikke endring av CN-domenenavnet til et sertifikat. Domenet må samsvare med det opprinnelige domenet som ble brukt til å registrere klyngen.
-
Oppdaterer databaseinnstillinger for å endre til en kopi av PostgreSQL- eller Microsoft SQL Server-databasen.
Vi støtter ikke migrering av data fra PostgreSQL til Microsoft SQL Server, eller motsatt vei. For å bytte databasemiljø, start en ny distribusjon av Hybrid Data Security.
-
Oppretter en ny konfigurasjon for å klargjøre et nytt datasenter.
Av sikkerhetshensyn bruker Hybrid Data Security også passord for tjenestekontoer som har en levetid på ni måneder. Etter at HDS-oppsettverktøyet genererer disse passordene, distribuerer du dem til hver av HDS-nodene dine i ISO-konfigurasjonsfilen. Når organisasjonens passord nærmer seg utløpsdatoen, mottar du et varsel fra Webex-teamet om å tilbakestille passordet for maskinkontoen din. (E-posten inneholder teksten «Bruk maskinkonto-API-et til å oppdatere passordet.») Hvis passordene dine ikke er utløpt ennå, gir verktøyet deg to alternativer:
-
Myk tilbakestilling– Både det gamle og det nye passordet fungerer i opptil 10 dager. Bruk denne perioden til å gradvis erstatte ISO-filen på nodene.
-
Hard tilbakestilling– De gamle passordene slutter å virke umiddelbart.
Hvis passordene dine utløper uten tilbakestilling, påvirker det HDS-tjenesten din, og krever en umiddelbar hard tilbakestilling og erstatning av ISO-filen på alle noder.
Bruk denne prosedyren til å generere en ny ISO-konfigurasjonsfil og bruke den på klyngen din.
Før du begynner
-
HDS-oppsettverktøyet kjører som en Docker-container på en lokal maskin. For å få tilgang til den, kjør Docker på den maskinen. Oppsettprosessen krever påloggingsinformasjonen til en Partner Hub-konto med fulle administratorrettigheter for partneren.
Hvis du ikke har en Docker Desktop-lisens, kan du bruke Podman Desktop til å kjøre HDS-oppsettverktøyet for trinn 1.a til 1.e i prosedyren nedenfor. Se Kjør HDS-oppsettverktøyet med Podman Desktop for detaljer.
Hvis HDS-oppsettverktøyet kjører bak en proxy i miljøet ditt, må du oppgi proxy-innstillingene (server, port, legitimasjon) via Docker-miljøvariabler når du åpner Docker-containeren i 1.e. Denne tabellen gir noen mulige miljøvariabler:
Beskrivelse
Variabel
HTTP-proxy uten autentisering
GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORTHTTPS-proxy uten autentisering
GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORTHTTP-proxy med autentisering
GLOBAL_AGENT_HTTP_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORTHTTPS-proxy med autentisering
GLOBAL_AGENT_HTTPS_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT -
Du trenger en kopi av den gjeldende ISO-filen for konfigurasjonen for å generere en ny konfigurasjon. ISO-filen inneholder hovednøkkelen som krypterer PostgreSQL- eller Microsoft SQL Server-databasen. Du trenger ISO-filen når du gjør konfigurasjonsendringer, inkludert databaselegitimasjon, sertifikatoppdateringer eller endringer i autorisasjonspolicyen.
| 1 |
Kjør HDS-oppsettverktøyet ved hjelp av Docker på en lokal maskin. |
| 2 |
Hvis du bare har én HDS-node som kjører, oppretter du en ny virtuell maskin for hybrid datasikkerhetsnoden og registrerer den ved hjelp av den nye ISO-konfigurasjonsfilen. For mer detaljerte instruksjoner, se Opprett og registrer flere noder. |
| 3 |
For eksisterende HDS-noder som kjører den eldre konfigurasjonsfilen, monter ISO-filen. Utfør følgende prosedyre på hver node etter tur, og oppdater hver node før du slår av neste node: |
| 4 |
Gjenta trinn 3 for å erstatte konfigurasjonen på hver gjenværende node som kjører den gamle konfigurasjonen. |
Slå av blokkert ekstern DNS-oppløsningsmodus
Når du registrerer en node eller sjekker nodens proxy-konfigurasjon, tester prosessen DNS-oppslag og tilkobling til Cisco Webex-skyen. Hvis nodens DNS-server ikke kan løse offentlige DNS-navn, går noden automatisk inn i modus for blokkert ekstern DNS-løsning.
Hvis nodene dine kan løse offentlige DNS-navn gjennom interne DNS-servere, kan du slå av denne modusen ved å kjøre proxy-tilkoblingstesten på nytt på hver node.
Før du begynner
| 1 |
I en nettleser åpner du Hybrid Data Security-nodegrensesnittet (IP address/setup, For eksempel, https://192.0.2.0/setup), skriv inn administratorlegitimasjonen du har satt opp for noden, og klikk deretter på Logg på. |
| 2 |
Gå til Oversikt (standardsiden). Når den er aktivert, er Blokkert ekstern DNS-oppløsning satt til Ja. |
| 3 |
Gå til Trust Store & Proxy -side. |
| 4 |
Klikk på Sjekk proxy-tilkobling. Hvis du ser en melding som sier at ekstern DNS-løsning ikke var vellykket, klarte ikke noden å nå DNS-serveren og vil forbli i denne modusen. Ellers, etter at du har startet noden på nytt og går tilbake til siden Oversikt, bør Blokkert ekstern DNS-oppløsning settes til nei. |
Hva du skal gjøre nå
Fjern en node
| 1 |
Bruk VMware vSphere-klienten på datamaskinen din til å logge på den virtuelle ESXi-verten og slå av den virtuelle maskinen. |
| 2 |
Fjern noden: |
| 3 |
Slett den virtuelle maskinen i vSphere-klienten. (I venstre navigasjonsrute høyreklikker du på den virtuelle maskinen og klikker på Slett.) Hvis du ikke sletter den virtuelle maskinen, husk å avmontere konfigurasjons-ISO-filen. Uten ISO-filen kan du ikke bruke den virtuelle maskinen til å få tilgang til sikkerhetsdataene dine. |
Katastrofegjenoppretting ved bruk av standby-datasenter
Den viktigste tjenesten som hybrid datasikkerhetsklyngen din tilbyr, er oppretting og lagring av nøkler som brukes til å kryptere meldinger og annet innhold som er lagret i Webex-skyen. For hver bruker i organisasjonen som er tilordnet Hybrid Data Security, rutes nye forespørsler om nøkkeloppretting til klyngen. Klyngen er også ansvarlig for å returnere nøklene den har opprettet til alle brukere som er autorisert til å hente dem, for eksempel medlemmer av et samtaleområde.
Fordi klyngen utfører den kritiske funksjonen med å levere disse nøklene, er det avgjørende at klyngen forblir i gang og at det vedlikeholdes riktige sikkerhetskopier. Tap av Hybrid Data Security-databasen eller av konfigurasjons-ISO-en som brukes for skjemaet vil føre til UKJENOPPRETTBART TAP av kundeinnhold. Følgende fremgangsmåter er obligatoriske for å forhindre et slikt tap:
Hvis en katastrofe fører til at HDS-distribusjonen i det primære datasenteret blir utilgjengelig, følger du denne prosedyren for å manuelt bytte til reservedatasenteret.
Før du begynner
| 1 |
Start HDS-oppsettverktøyet og følg trinnene som er nevnt i Opprett en konfigurasjons-ISO for HDS-vertene. |
| 2 |
Etter at du har konfigurert Syslogd-serveren, klikker du på Avanserte innstillinger |
| 3 |
På siden Avanserte innstillinger legger du til konfigurasjonen nedenfor eller fjerner
|
| 4 |
Fullfør konfigurasjonsprosessen og lagre ISO-filen på et sted som er lett å finne. |
| 5 |
Lag en sikkerhetskopi av ISO-filen på ditt lokale system. Oppbevar sikkerhetskopien sikkert. Denne filen inneholder en hovedkrypteringsnøkkel for databaseinnholdet. Begrens tilgangen til kun de administratorene for hybrid datasikkerhet som skal gjøre konfigurasjonsendringer. |
| 6 |
I VMware vSphere-klientens venstre navigasjonsrute høyreklikker du på den virtuelle maskinen og klikker på Rediger innstillinger.. |
| 7 |
Klikk på Rediger innstillinger >CD/DVD Stasjon 1 og velg Datastore ISO-fil. Sørg for at Tilkoblet og Koble til ved oppstart er avmerket, slik at oppdaterte konfigurasjonsendringer kan tre i kraft etter at nodene har startet. |
| 8 |
Slå på HDS-noden og sørg for at det ikke er noen alarmer på minst 15 minutter. |
| 9 |
Gjenta prosessen for hver node i standby-datasenteret. Sjekk syslog-utdataene for å bekrefte at nodene i standby-datasenteret ikke er i passiv modus. «KMS konfigurert i passiv modus» skal ikke vises i systemloggene. |
Hva du skal gjøre nå
(Valgfritt) Avmonter ISO etter HDS-konfigurasjon
Standard HDS-konfigurasjonen kjører med ISO montert. Men noen kunder foretrekker å ikke la ISO-filer være kontinuerlig montert. Du kan avmontere ISO-filen etter at alle HDS-nodene har hentet den nye konfigurasjonen.
Du bruker fortsatt ISO-filene til å gjøre konfigurasjonsendringer. Når du oppretter en ny ISO eller oppdaterer en ISO via installasjonsverktøyet, må du montere den oppdaterte ISO-en på alle HDS-nodene dine. Når alle nodene dine har plukket opp konfigurasjonsendringene, kan du avmontere ISO-en igjen med denne prosedyren.
Før du begynner
Oppgrader alle HDS-nodene dine til versjon 2025.06.02.6983 eller nyere.
| 1 |
Slå av en av HDS-nodene dine. |
| 2 |
I vCenter Server Appliance velger du HDS-noden. |
| 3 |
Velg og fjern merket for Datastore ISO-fil. |
| 4 |
Slå på HDS-noden og sørg for at det ikke er noen alarmer på minst 20 minutter. |
| 5 |
Gjenta for hver HDS-node etter tur. |
Vis varsler og feilsøk
En hybrid datasikkerhetsdistribusjon anses som utilgjengelig hvis alle noder i klyngen ikke kan nås, eller klyngen fungerer så sakte at forespørsler blir tidsavbrutt. Hvis brukere ikke kan nå Hybrid Data Security-klyngen din, opplever de følgende symptomer:
-
Nye mellomrom kan ikke opprettes (kan ikke opprette nye nøkler)
-
Meldinger og romtitler klarer ikke å dekryptere for:
-
Nye brukere lagt til i et rom (kan ikke hente nøkler)
-
Eksisterende brukere i et område som bruker en ny klient (kan ikke hente nøkler)
-
-
Eksisterende brukere i et område vil fortsette å kjøre uten problemer så lenge klientene deres har en hurtigbuffer med krypteringsnøklene
Det er viktig at du overvåker Hybrid Data Security-klyngen din ordentlig og adresserer eventuelle varsler raskt for å unngå avbrudd i tjenesten.
Varsler
Hvis det er et problem med oppsettet av hybrid datasikkerhet, viser Partner Hub varsler til organisasjonsadministratoren og sender e-poster til den konfigurerte e-postadressen. Varslene dekker mange vanlige scenarier.
|
Varsle |
Handling |
|---|---|
|
Tilgangsfeil for lokal database. |
Sjekk for databasefeil eller problemer med det lokale nettverket. |
|
Feil på tilkobling til lokal database. |
Kontroller at databaseserveren er tilgjengelig, og at riktig tjenestekontolegitimasjon ble brukt i nodekonfigurasjonen. |
|
Feil med tilgang til skytjenesten. |
Kontroller at nodene har tilgang til Webex-serverne som angitt i Krav til ekstern tilkobling. |
|
Fornyer registrering av skytjeneste. |
Registrering til skytjenester ble droppet. Fornyelse av registreringen pågår. |
|
Registrering av skytjeneste er fjernet. |
Registrering for skytjenester er avsluttet. Tjenesten stenges ned. |
|
Tjenesten er ikke aktivert ennå. |
Aktiver HDS i Partner Hub. |
|
Det konfigurerte domenet samsvarer ikke med serversertifikatet. |
Sørg for at serversertifikatet ditt samsvarer med det konfigurerte domenet for tjenesteaktivering. Den mest sannsynlige årsaken er at sertifikatets CN nylig ble endret og nå er forskjellig fra CN-en som ble brukt under den første oppsettet. |
|
Kunne ikke autentisere mot skytjenester. |
Sjekk nøyaktighet og mulig utløpsdato for tjenestekontolegitimasjon. |
|
Kunne ikke åpne den lokale nøkkellagerfilen. |
Sjekk integriteten og passordnøyaktigheten på den lokale nøkkellagerfilen. |
|
Det lokale serversertifikatet er ugyldig. |
Sjekk utløpsdatoen for serversertifikatet og bekreft at det ble utstedt av en pålitelig sertifiseringsinstans. |
|
Kan ikke legge ut målinger. |
Sjekk lokal nettverkstilgang til eksterne skytjenester. |
|
/media/configdrive/hds katalogen finnes ikke. |
Sjekk ISO-monteringskonfigurasjonen på den virtuelle verten. Bekreft at ISO-filen finnes, at den er konfigurert til å monteres ved omstart, og at den monteres uten problemer. |
|
Oppsettet av leietakerorganisasjonen er ikke fullført for de tillagte organisasjonene. |
Fullfør oppsettet ved å opprette CMK-er for nylig tillagte leietakerorganisasjoner ved hjelp av HDS Setup Tool. |
|
Oppsettet av leietakerorganisasjonen er ikke fullført for de fjernede organisasjonene. |
Fullfør oppsettet ved å tilbakekalle CMK-er for leietakerorganisasjoner som ble fjernet ved hjelp av HDS Setup Tool. |
Feilsøking av hybrid datasikkerhet
| 1 |
Logg inn på Partner Hub. |
| 2 |
Fra menyen på venstre side av skjermen velger du Tjenester. |
| 3 |
I Hybrid-delen finner du Hybrid datasikkerhet og klikker på Hendelser. |
| 4 |
Se gjennom hendelseshistorikksiden for varsler og fiks eventuelle elementer du finner der. Se bildet nedenfor som referanse. |
| 5 |
Se gjennom syslog-serverutdataene for aktivitet fra Hybrid Data Security-distribusjonen. Filtrer etter ord som «Advarsel» og «Feil» for å hjelpe til med feilsøking. |
| 6 |
Kontakt Cisco-kundestøtte. |
HDS-utvikler-API-er
HDS Developer API-ene er en måte å hente analyse- og overvåkingsdata på, samt feilsøke HDS-distribusjonene dine via Webex Developer Portal. API-ene er tilgjengelige på https://developer.webex.com/messaging/docs/api/v1/hds.
Kjente problemer for hybrid datasikkerhet
-
Hvis du slår av alle dine aktive Hybrid Data Security-klynger (ved å slette dem i Partner Hub eller ved å slå av alle noder), mister konfigurasjons-ISO-filen eller mister tilgang til nøkkellagerdatabasen, kan ikke Webex-appbrukere av kundeorganisasjoner lenger bruke mellomrom under personlisten sin som ble opprettet med nøkler fra KMS-systemet ditt. Vi har for øyeblikket ingen løsning eller løsning på dette problemet, og vi oppfordrer deg til ikke å stenge ned HDS-tjenestene dine når de håndterer aktive brukerkontoer.
-
En klient som har en eksisterende ECDH-tilkobling til et KMS, opprettholder denne tilkoblingen i en periode (sannsynligvis én time).
Kjør HDS Setup-verktøyet med Podman Desktop
Podman er et gratis og åpen kildekode-verktøy for containeradministrasjon som gir en måte å kjøre, administrere og opprette containere på. Podman Desktop kan lastes ned fra https://podman-desktop.io/downloads.
-
HDS-oppsettverktøyet kjører som en Docker-container på en lokal maskin. For å få tilgang til den, last ned og kjør Podman på den maskinen. Konfigurasjonsprosessen krever legitimasjonen til en Control Hub-konto med fulle administratorrettigheter for organisasjonen din.
Hvis HDS-oppsettverktøyet kjører bak en proxy i miljøet ditt, må du oppgi proxy-innstillingene (server, port, legitimasjon) via Docker-miljøvariabler når du åpner Docker-containeren i trinn 5. Denne tabellen viser noen mulige miljøvariabler:
Beskrivelse
Variabel
HTTP-proxy uten autentisering
GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORTHTTPS-proxy uten autentisering
GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORTHTTP-proxy med autentisering
GLOBAL_AGENT_HTTP_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORTHTTPS-proxy med autentisering
GLOBAL_AGENT_HTTPS_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT -
Konfigurasjons-ISO-filen du genererer inneholder hovednøkkelen som krypterer PostgreSQL- eller Microsoft SQL Server-databasen. Du trenger den nyeste kopien av denne filen hver gang du gjør konfigurasjonsendringer, som disse:
-
Databaselegitimasjon
-
Sertifikatoppdateringer
-
Endringer i autorisasjonspolicyen
-
-
Hvis du planlegger å kryptere databasetilkoblinger, må du konfigurere PostgreSQL- eller SQL Server-distribusjonen din for TLS.
Konfigurasjonsprosessen for hybrid datasikkerhet oppretter en ISO-fil. Deretter bruker du ISO-filen til å konfigurere Hybrid Data Security-verten din.
| 1 |
Skriv inn riktig kommando for miljøet ditt på maskinens kommandolinje: I vanlige miljøer: I FedRAMP-miljøer: Dette trinnet rydder opp i tidligere bilder av HDS-oppsettverktøyet. Hvis det ikke finnes noen tidligere bilder, returnerer den en feil som du kan ignorere. |
| 2 |
For å logge på Docker-avbildningsregisteret, skriv inn følgende: |
| 3 |
Ved passordledeteksten skriver du inn denne hashen: |
| 4 |
Last ned det nyeste stabile bildet for miljøet ditt: I vanlige miljøer: I FedRAMP-miljøer: |
| 5 |
Når hentingen er fullført, skriver du inn riktig kommando for miljøet ditt:
Når containeren kjører, ser du «Express-server lytter på port 8080». Installasjonsverktøyet støtter ikke tilkobling til localhost via http://localhost:8080. Bruk http://127.0.0.1:8080 for å koble til localhost. |
Hva du skal gjøre nå
Deaktiver skyagenter
Cloud Agents (c-agent) er klarerte Webex-tjenestekontoer som utfører operasjoner på HDS via delegert tilgang på vegne av en bruker for å forbedre den generelle brukeropplevelsen. Deaktivering av Cloud Agents blokkerer Webex-tjenester fra å få tilgang til lokale HDS-nøkler.
Deaktivering av skyagenter vil føre til tap av funksjoner som opptak etter møter, transkripsjoner, forhåndsvisninger av filer og automatisert skanning etter skadelig programvare i Webex-appområder.
Følg trinnene nedenfor for å deaktivere skyagenter for HDS-distribusjonen din.
| 1 |
Start HDS-oppsettverktøyet og følg trinnene som er nevnt i Opprett en konfigurasjons-ISO for HDS-vertene. ISO-filen må være en kopi av den originale ISO-filen til det primære datasenteret som følgende konfigurasjonsoppdateringer skal gjøres på. |
| 2 |
Etter at du har konfigurert Syslogd-serveren, klikker du på Avanserte innstillinger. |
| 3 |
På siden Avanserte innstillinger legger du til konfigurasjonen nedenfor for å deaktivere skyagenter. Dette vil sikre at skyagenter ikke får lov til å håndtere HDS-trafikk.
|
| 4 |
Fullfør konfigurasjonsprosessen og lagre ISO-filen på et sted som er lett å finne. |
| 5 |
Lag en sikkerhetskopi av ISO-filen på ditt lokale system. Oppbevar sikkerhetskopien sikkert. Denne filen inneholder en hovedkrypteringsnøkkel for databaseinnholdet. Begrens tilgangen til kun de administratorene for hybrid datasikkerhet som skal gjøre konfigurasjonsendringer. |
| 6 |
I VMware vSphere-klientens venstre navigasjonsrute høyreklikker du på den virtuelle maskinen og klikker på Rediger innstillinger.. |
| 7 |
Klikk på Rediger innstillinger >CD/DVD Stasjon 1 og velg ISO-fil for datalager. Sørg for at Tilkoblet og Koble til ved oppstart er avmerket, slik at oppdaterte konfigurasjonsendringer kan tre i kraft etter at nodene har startet. |
| 8 |
Slå på HDS-noden og sørg for at det ikke er noen alarmer på minst 15 minutter. |
| 9 |
Gjenta prosessen for hver node i HDS-distribusjonen din. Bekreft at Cloud Agents er deaktivert ved å sjekke sysloggene for følgende oppføring: «Cloud Agent-oppdatering deaktivert». |
Flytt den eksisterende HDS-distribusjonen med én leietaker fra en partnerorganisasjon i Control Hub til et HDS-oppsett med flere leietakere i Partner Hub
Konverteringen fra en eksisterende HDS-distribusjon med én leier i en partnerorganisasjon administrert i Control Hub til en HDS-distribusjon med flere leiere administrert i Partner Hub innebærer hovedsakelig å deaktivere HDS-tjenesten i Control Hub, avregistrere noder og slette klyngen. Deretter kan du logge inn på Partner Hub, registrere nodene, aktivere Multi-Tenant HDS og legge til kunder i klyngen din.
Begrepet «enkeltleietaker» refererer ganske enkelt til en eksisterende HDS-distribusjon i Control Hub.
Deaktiver HDS, avregistrer noder og slett alle klynger i Control Hub
| 1 |
Logg inn på Kontrollhub. Klikk på Hybridi venstre rute. Klikk på Rediger innstillingerpå Hybrid Data Security-kortet. |
| 2 |
På innstillingssiden blar du ned til Deaktiver-delen og klikker på Deaktiver. |
| 3 |
Etter deaktivering, klikk på fanen Ressurser. |
| 4 |
Siden Ressurser viser en liste over klynger i HDS-distribusjonen din. Klikk på en klynge, så åpnes en side med alle noder under den klyngen. |
| 5 |
Klikk på |
| 6 |
Hvis distribusjonen din har flere klynger, gjenta trinn 4 og trinn 5 til alle noder er avregistrert. |
| 7 |
Klikk på Klyngeinnstillinger > Fjern. |
| 8 |
Klikk på Bekreft fjerning for å avregistrere klyngen. |
| 9 |
Gjenta prosessen for alle klynger i HDS-distribusjonen din. Etter deaktivering av HDS, avregistrering av noder og fjerning av klynger, vil Hybrid Data Service-kortet på Control Hub ha Oppsettet ikke fullført vist nederst. |
Aktiver Multi-Tenant HDS for partnerorganisasjonen på Partner Hub og legg til kunder
Før du begynner
Alle forutsetningene nevnt i Krav til hybrid datasikkerhet for flere leietakere gjelder her. I tillegg må du sørge for at samme database og sertifikater brukes under overføringen til Multi-Tenant HDS.
| 1 |
Logg inn på Partner Hub. Klikk på Tjenester i venstre rute. Bruk den samme ISO-en fra den forrige HDS-distribusjonen din til å konfigurere nodene. Dette vil sikre at meldinger og innhold generert av brukerne i den forrige eksisterende HDS-distribusjonen fortsatt er tilgjengelig i det nye oppsettet for flere leietakere. |
| 2 |
I Hybrid-delen finner du Hybrid Data Security-kortet og klikker på Konfigurer. |
| 3 |
På siden som åpnes, klikk på Legg til en ressurs. |
| 4 |
I det første feltet på kortet Opprett en klynge skriver du inn et navn på klyngen du vil tilordne Hybrid Data Security-noden til. Vi anbefaler at du navngir en klynge basert på hvor nodene i klyngen befinner seg geografisk. Eksempler: «San Francisco» eller «New York» eller «Dallas» |
| 5 |
I det andre feltet skriver du inn den interne IP-adressen eller det fullstendig kvalifiserte domenenavnet (FQDN) til noden din og klikker på Legg til nederst på skjermen. Denne IP-adressen eller FQDN-en skal samsvare med IP-adressen eller vertsnavnet og domenet du brukte i Konfigurer den hybride virtuelle datamaskinen for datasikkerhet. Det vises en melding som angir at du kan registrere noden din i Webex.
|
| 6 |
Klikk på Gå til node. Etter noen få øyeblikk blir du omdirigert til nodetilkoblingstestene for Webex-tjenester. Hvis alle testene er vellykkede, vises siden Tillat tilgang til hybrid datasikkerhetsnode. Der bekrefter du at du vil gi Webex-organisasjonen din tillatelse til å få tilgang til noden din. |
| 7 |
Merk av i boksen Tillat tilgang til hybrid datasikkerhetsnode, og klikk deretter på Fortsett. Kontoen din er validert, og meldingen «Registrering fullført» indikerer at noden din nå er registrert i Webex Cloud. På siden Hybrid datasikkerhet vises den nye klyngen som inneholder noden du registrerte, under fanen Ressurser. Noden vil automatisk laste ned den nyeste programvaren fra skyen.
|
| 8 |
Gå til fanen Innstillinger og klikk på Aktiver på HDS-statuskortet. Meldingen om aktivert HDS vises nederst på skjermen.
|
| 9 |
Klikk på fanen Tildelte kunder. |
| 10 |
Klikk på Legg til kunder. |
| 11 |
Velg kunden du vil legge til fra rullegardinmenyen. |
| 12 |
Klikk på Legg til, kunden vil bli lagt til i klyngen. |
| 13 |
Gjenta trinn 11 til 13 for å legge til flere kunder i klyngen din. |
| 14 |
Klikk på Ferdig nederst på skjermen når du har lagt til kundene. |
Hva du skal gjøre nå
Bruk OpenSSL til å generere en PKCS12-fil
Før du begynner
-
OpenSSL er et verktøy som kan brukes til å lage PKCS12-filen i riktig format for lasting i HDS Setup Tool. Det finnes andre måter å gjøre dette på, og vi støtter eller fremmer ikke én måte fremfor en annen.
-
Hvis du velger å bruke OpenSSL, tilbyr vi denne prosedyren som en veiledning for å hjelpe deg med å opprette en fil som oppfyller X.509-sertifikatkravene i X.509-sertifikatkrav. Forstå disse kravene før du fortsetter.
-
Installer OpenSSL i et støttet miljø. Se https://www.openssl.org for programvare og dokumentasjon.
-
Opprett en privat nøkkel.
-
Start denne prosedyren når du mottar serversertifikatet fra sertifiseringsinstansen din (CA).
| 1 |
Når du mottar serversertifikatet fra CA-en din, lagrer du det som |
| 2 |
Vis sertifikatet som tekst, og bekreft detaljene.
|
| 3 |
Bruk en teksteditor til å opprette en sertifikatpakkefil kalt
|
| 4 |
Opprett .p12-filen med det egendefinerte navnet
|
| 5 |
Sjekk detaljene for serversertifikatet. |
Hva du skal gjøre nå
Gå tilbake til Fullfør forutsetningene for hybrid datasikkerhet. Du bruker hdsnode.p12 -filen og passordet du har angitt for den i Opprett en konfigurasjons-ISO for HDS-vertene.
Du kan bruke disse filene på nytt for å be om et nytt sertifikat når det opprinnelige sertifikatet utløper.
Trafikk mellom HDS-nodene og skyen
Utgående målinger Innsamling av trafikk
Hybrid datasikkerhetsnodene sender visse målinger til Webex-skyen. Disse inkluderer systemmålinger for heap maks, heap brukt, CPU-belastning og trådantall; målinger på synkrone og asynkrone tråder; målinger på varsler som involverer en terskel for krypteringstilkoblinger, latens eller en forespørselskølengde; målinger på datalageret; og målinger for krypteringstilkoblinger. Nodene sender kryptert nøkkelmateriale over en out-of-band (separat fra forespørselen) kanal.
Innkommende trafikk
Hybride datasikkerhetsnoder mottar følgende typer innkommende trafikk fra Webex-skyen:
-
Krypteringsforespørsler fra klienter, som rutes av krypteringstjenesten
-
Oppgraderinger til nodeprogramvaren
Konfigurer Squid-proxyer for hybrid datasikkerhet
Websocket kan ikke koble til via Squid-proxyen
Squid-proxyer som inspiserer HTTPS-trafikk kan forstyrre etableringen av websocket (wss:)-tilkoblinger som Hybrid Data Security krever. Disse avsnittene gir veiledning om hvordan du konfigurerer ulike versjoner av Squid til å ignorere wss: -trafikk for at tjenestene skal fungere som de skal.
Blekksprut 4 og 5
Legg til on_unsupported_protocol -direktivet i squid.conf:
on_unsupported_protocol tunnel allBlekksprut 3.5.27
Vi testet hybrid datasikkerhet med følgende regler lagt til i squid.conf. Disse reglene kan endres etter hvert som vi utvikler funksjoner og oppdaterer Webex-skyen.
acl wssMercuryConnection ssl::server_name_regex mercury-connection
ssl_bump splice wssMercuryConnection
acl step1 at_step SslBump1
acl step2 at_step SslBump2
acl step3 at_step SslBump3
ssl_bump peek step1 all
ssl_bump stare step2 all
ssl_bump bump step3 allNy og endret informasjon
Denne tabellen dekker nye funksjoner eller funksjonalitet, endringer i eksisterende innhold, og eventuelle større feil som ble løst i distribusjonsveiledningen for hybriddatasikkerhet for flere leiet akere.
|
Dato |
Endringer gjort |
|---|---|
| 01 oktober 2026 | |
| 21. september 2026 |
|
| 31. august 2026 |
|
| 28. august 2026 |
|
| 30. juli 2026 |
|
| 02 juli 2026 |
|
| 23. juni 2026 |
|
| 01 juni 2026 |
|
| 16. april 2026 |
|
| 25. mars 2026 |
|
|
05 desember 2025 |
|
|
21. november 2025 |
|
|
08. mai, 2025 |
|
| 4. mars 2025 |
|
|
30. januar 2025 |
Lagt til SQL server versjon 2022 i listen over støttede SQL-servere i databaseserverkrav. |
|
15. januar 2025 |
Lagt til begrensninger for Multi-Tenant Hybrid Datasikkerhet. |
|
8. januar 2025 |
Lagt til et notat i Utfør første oppsett og last ned installasjonsfiler som sier at det å klikke på Konfigurer på HDS-kortet i Partner Hub er et viktig trinn i installasjonsprosessen. |
|
07 januar 2025 |
Oppdat erte krav til virtuell vert, oppgaveflyt for distribusjon av hybriddatas ikker het og installering av HDS Host OVA for å vise nye krav til ESXi 7.0. |
|
Desember 13, 2024 |
Først publisert. |
Oversikt over hybriddatasikkerhet for flere leietakere
Fra dag én har datasikkerhet vært hovedfokuset i utformingen av Webex-appen. Hjørnesteinen i denne sikkerheten er ende-til-ende-innholdskryptering, aktivert av Webex App-klienter som samhandler med Key Management Service (KMS). KMS er ansvarlig for å opprette og administrere kryptografiske nøkler som klienter bruker til dynamisk å kryptere og dekryptere meldinger og filer.
Som standard får alle Webex App-kunder ende-til-ende-kryptering med dynamiske nøkler lagret i skyen KMS, i Ciscos sikkerhetsområde. Hybrid Data Security flytter KMS og andre sikkerhets relaterte funksjoner til bedriftens datasenter, slik at ingen andre enn deg har nøklene til det krypterte innholdet ditt.
Multi-Tenant Hybrid Data Security gjør det mulig for organisasjoner å utnytte HDS gjennom en pålitelig lokal partner, som kan fungere som tjenesteleverandør og administrere lokal kryptering og andre sikkerhetstjenester. Dette oppsettet gjør det mulig for partnerorganisasjonen å ha full kontroll over distribusjon og administrasjon av krypteringsnøkler og sikrer at brukerdata fra kundeorganisasjoner er trygge mot ekstern tilgang. Partnerorganisasjoner konfigurerer HDS-forekomster og oppretter HDS-klynger etter behov. Hver forekomst kan støtte flere kundeorganisasjoner i motsetning til en vanlig HDS-distribusjon som er begrenset til en enkelt organisasjon.
Dette gjør det også mulig for mindre organisasjoner å utnytte HDS, siden nøkkeladministrasjonstjenester og sikkerhetsinfrastruktur som datasentre eies av den pålitelige lokale partneren.
Hvordan Multi-Tenant Hybrid Data Security gir datasuverenitet og datakontroll
- Brukergenerert innhold er beskyttet mot ekstern tilgang, som skytjenesteleverandører.
- Lokale pålitelige partnere administrerer krypteringsnøklene til kunder som de allerede har et etablert forhold til.
- Mulighet for lokal teknisk støtte, hvis gitt av partneren.
- Støtter møter, meldinger og ringeinnhold.
Dette dokumentet er rettet mot å hjelpe partnerorganisasjoner med å sette opp og administrere kunder under et Multi-Tenant Hybrid Data Security-system.
Begrensninger ved hybrid datasikkerhet for flere leietakere
- Partnerorganisasjoner må ikke ha noen eksisterende HDS-distribusjon aktiv i Control Hub.
- Leietaker- eller kundeorganisasjoner som ønsker å bli administrert av en partner, må ikke ha noen eksisterende HDS-distribusjon i Control Hub.
- Når Multi-Tenant HDS er distribuert av partneren, begynner alle brukere av kundeorganisasjoner så vel som brukere av partnerorganisasjonen å utnytte Multi-Tenant HDS for krypteringstjenestene sine.
Partnerorganisasjonen og kundeorganisasjonene de administrerer vil ha samme HDS-distribusjon for flere leietakere.
Partnerorganisasjonen vil ikke lenger bruke skybasert KMS etter at Multi-Tenant HDS er distribuert.
- Det er ingen mekanisme for å flytte nøkler tilbake til Cloud KMS etter en HDS-distribusjon.
- Administratorroller har visse begrensninger; se avsnittet nedenfor for detaljer.
Roller i hybriddatasikkerhet for flere leietakere
- Partner full administrator - Kan administrere innstillinger for alle kunder som partneren administrerer. Kan også tilordne administratorroller til eksisterende brukere i organisasjonen og tilordne bestemte kunder som skal administreres av partneradministratorer.
- Partneradministrator — Kan administrere innstillinger for kunder som administratoren har klargjort eller som er tilordnet brukeren.
- Fullstendig administrator — Administrator for partnerorganisasjonen som er autorisert til å utføre oppgaver som å endre organisasjonsinnstillinger, administrere lisenser og tildele roller.
- End-to-end HDS-oppsett og administrasjon av Multi-Tenant HDS for alle kundeorganisasjoner - Fullstendige administratorrettigheter og fullstendige administratorrettigheter kreves for partner.
- Administrasjon av tildelte leietakerorganisasjoner - Partneradministrator og fullstendige administratorrettigheter kreves.
Sikkerhetsriksarkitektur
Webex-skyarkitekturen skiller forskjellige typer tjenester i separate riker, eller klareringsdomener, som vist nedenfor.
For å forstå Hybrid Data Security ytterligere, la oss først se på denne rene skysaken, der Cisco leverer alle funksjoner i skyområdene sine. Identitetstjenesten, det eneste stedet der brukere kan korreleres direkte med deres personlige informasjon som e-postadresse, er logisk og fysisk atskilt fra sikkerhetsområdet i datasenter B. Begge er i sin tur atskilt fra riket der kryptert innhold til slutt lagres, i datasenter C.
I dette diagrammet er klienten Webex-appen som kjører på en brukers bærbare datamaskin, og har autentisert med identitetstjenesten. Når brukeren skriver en melding som skal sendes til et mellomrom, utføres følgende trinn:
-
Klienten oppretter en sikker forbindelse med nøkkeladministrasjonstjenesten (KMS), og ber deretter om en nøkkel for å kryptere meldingen. Den sikre tilkoblingen bruker ECDH, og KMS krypterer nøkkelen ved hjelp av en AES-256-hovednøkkel.
-
Meldingen er kryptert før den forlater klienten. Klienten sender den til indekseringstjenesten, som oppretter krypterte søkeindekser for å hjelpe i fremtidige søk etter innholdet.
-
Den krypterte meldingen sendes til overholdelsestjenesten for samsvarskontroller.
-
Den krypterte meldingen lagres i lagringsriket.
Når du distribuerer Hybrid Data Security, flytter du sikkerhetsområdefunksjonene (KMS, indeksering og samsvar) til det lokale datasenteret. De andre skytjenestene som utgjør Webex (inkludert identitets- og innholdslagring) forblir i Ciscos riker.
Samarbeid med andre organisasjoner
Brukere i organisasjonen din kan regelmessig bruke Webex App til å samarbeide med eksterne deltakere i andre organisasjoner. Når en av brukerne ber om en nøkkel for et område som eies av organisasjonen din (fordi den ble opprettet av en av brukerne dine), sender KMS nøkkelen til klienten over en ECDH-sikret kanal. Men når en annen organisasjon eier nøkkelen for plassen, ruter KMS forespørselen ut til Webex-skyen gjennom en egen ECDH-kanal for å hente nøkkelen fra riktig KMS, og returnerer deretter nøkkelen til brukeren din på den opprinnelige kanalen.
KMS-tjenesten som kjører på Org A validerer tilkoblingene til KMS-er i andre organisasjoner ved hjelp av x.509 PKI-sertifikater. Se Klargjøre miljøet for detaljer om hvordan du genererer et x.509-sertifikat som skal brukes med distribusjonen for hybriddatasikkerhet for flere leietakere.
Forventninger til implementering av hybrid datasikkerhet
En hybrid datasikkerhet-distribusjon krever betydelig engasjement og bevissthet om risikoen som følger med å eie krypteringsnøkler.
Hvis du vil distribuere hybrid datasikkerhet, må du oppgi:
-
Et sikkert datasenter i et land som er et støttet sted for Cisco Webex Teamsplan ene.
-
Utstyret, programvaren og nettverkstilgangen beskrevet i Forbered miljøet.
Fullstendig tap av enten konfigurasjons-ISO-en du bygger for Hybrid Data Security eller databasen du oppgir, vil resultere i tap av nøklene. Tap av nøkler hindrer brukere i å dekryptere rominnhold og andre krypterte data i Webex-appen. Hvis dette skjer, kan du bygge en ny distribusjon, men bare nytt innhold vil være synlig. For å unngå tap av tilgang til data, må du:
-
Administrer sikkerhetskopiering og gjenoppretting av databasen og konfigurasjonen ISO.
-
Vær forberedt på å utføre rask gjenoppretting etter katastrofe hvis det oppstår en katastrofe, for eksempel databasediskfeil eller datasenterkatastrofe.
Migrering fra Multi-Tenant Hybrid Data Security (HDS) til Webex Cloud KMS støttes ikke. Avvikling av HDS vil resultere i tap av tilgang til innhold og data som tidligere er kryptert med disse nøklene. Du må beholde HDS for å bevare tilgang til eksisterende kryptert innhold.
Oppsettprosess på høyt nivå
Dette dokumentet dekker oppsett og administrasjon av en multi-tenant hybrid datasikkerhet-distribusjon:
-
Konfigurere hybrid datasikkerhet — Dette inkluderer klargjøring av nødvendig infrastruktur og installasjon av programvare for hybrid datasikkerhet, bygging av en HDS-klynge, legge til leietakerorganisasjoner i klyngen og administrere CMKs (Customer Main Keys). Dette vil gjøre det mulig for alle brukere av kundeorganisasjonene dine å bruke Hybrid Data Security-klyngen til sikkerhetsfunksjoner.
Installasjons-, aktiverings- og administrasjonsfasene dekkes i detalj i de neste tre kapitlene.
-
Oppretthold distribusjonen av hybriddatasikker het — Webex-skyen gir automatisk løpende oppgraderinger. IT-avdelingen din kan tilby nivå 1-støtte for denne distribusjonen, og engasjere Cisco-støtte etter behov. Du kan bruke varsler på skjermen og konfigurere e-postbaserte varsler i Partner Hub.
-
Forstå vanlige varsler, feilsøkingstrinn og kjente problemer — Hvis du får problemer med å distribuere eller bruke Hybrid Data Security, kan det siste kapittelet i denne veiledningen og vedlegget om kjente problemer hjelpe deg med å finne og løse problemet.
Hybrid datasikkerhetsdistribusjonsmodell
I bedriftsdatasenteret distribuerer du Hybrid Data Security som en enkelt klynge av noder på separate virtuelle verter. Nodene kommuniserer med Webex-skyen gjennom sikre webstikkontakter og sikker HTTP.
Under installasjonsprosessen gir vi deg OVA-filen for å konfigurere det virtuelle apparatet på de virtuelle maskinene du oppgir. Du bruker HDS-oppsettverktøyet til å opprette en tilpasset ISO-fil for klyngekonfigurasjon som du monterer på hver node. Hybrid Data Security-klyngen bruker den medfølgende Syslogd-serveren og PostgreSQL- eller Microsoft SQL Server-databasen. (Du konfigurerer Syslogd- og databasetilkoblingsdetaljer i HDS-installasjonsverktøyet.)
Minste antall noder du kan ha i en klynge er to. Vi anbefaler minst tre per klynge. Å ha flere noder sikrer at tjenesten ikke blir avbrutt under en programvareoppgradering eller annen vedlikeholdsaktivitet på en node. (Webex-skyen oppgraderer bare én node om gangen.)
Alle noder i en klynge får tilgang til samme nøkkeldatalager, og logger aktivitet til samme syslog-server. Nodene selv er statsløse, og håndterer nøkkelforespørsler på round-robin-måte, som instruert av skyen.
Noder blir aktive når du registrerer dem i Partner Hub. Hvis du vil ta en individuell node ut av drift, kan du avregistrere den og senere registrere den på nytt om nødvendig.
Proxy-støtte
Hybrid datasikkerhet støtter eksplisitte, gjennomsiktige og ikke-inspiserende proxyer. Du kan knytte disse proxy-ene til distribusjonen din slik at du kan sikre og overvåke trafikk fra bedriften ut til skyen. Du kan bruke et plattformadministratorgrensesnitt på nodene for sertifikatadministrasjon og for å kontrollere den generelle tilkoblingsstatusen etter at du har konfigurert proxyen på nodene.
Hybrid Data Security-nodene støtter følgende proxy-alternativer:
-
Ingen proxy — Standard hvis du ikke bruker HDS-nodeoppsettet Klareringsbutikk og proxy-konfigurasjon til å integrere en proxy. Ingen sertifikatoppdatering er nødvendig.
-
Transparent proxy uten inspeksjon — Nodene er ikke konfigurert til å bruke en bestemt proxy-serveradresse og bør ikke kreve noen endringer for å fungere med en ikke-inspiserende proxy. Ingen sertifikatoppdatering er nødvendig.
-
Gjennomsiktig tunneling eller inspeksjon av proxy — Nodene er ikke konfigurert til å bruke en bestemt proxy-serveradresse. Ingen HTTP- eller HTTPS-konfigurasjonsendringer er nødvendige på nodene. Nodene trenger imidlertid et rotsertifikat slik at de stoler på proxyen. Inspekterende proxyer brukes vanligvis av IT til å håndheve retningslinjer for hvilke nettsteder som kan besøkes og hvilke typer innhold som ikke er tillatt. Denne typen proxy dekrypterer all trafikken din (til og med HTTPS).
-
Eksplisitt proxy — Med eksplisitt proxy forteller du HDS-nodene hvilken proxy-server og autentiseringsskjema de skal bruke. Hvis du vil konfigurere en eksplisitt proxy, må du angi følgende informasjon på hver node:
-
Proxy IP/FQDN —Adresse som kan brukes til å nå proxy-maskinen.
-
Proxy-port — Et portnummer som proxyen bruker til å lytte etter proxy-trafikk.
-
Proxy-protokoll — Avhengig av hva proxy-serveren støtter, velger du mellom følgende protokoller:
-
HTTP — viser og kontrollerer alle forespørsler som klienten sender.
-
https — gir en kanal til serveren. Klienten mottar og validerer serverens sertifikat.
-
-
Godkjenningsty pe — Velg blant følgende godkjenningstyper:
-
Ingen — Ingen ytterligere godkjenning er nødvendig.
Tilgjengelig hvis du velger enten HTTP eller HTTPS som proxy-protokoll.
-
Grunn leggende — Brukes for en HTTP-brukeragent for å oppgi et brukernavn og passord når du foretar en forespørsel. Bruker Base64-koding.
Tilgjengelig hvis du velger enten HTTP eller HTTPS som proxy-protokoll.
Krever at du skriver inn brukernavn og passord på hver node.
-
Sammendrag —Brukes til å bekrefte kontoen før du sender sensitiv informasjon. Bruker en hash-funksjon på brukernavnet og passordet før sending over nettverket.
Bare tilgjengelig hvis du velger HTTPS som proxy-protokoll.
Krever at du skriver inn brukernavn og passord på hver node.
-
-
Eksempel på hybride datasikkerhetsnoder og proxy
Dette diagrammet viser et eksempel på forbindelse mellom Hybrid Data Security, nettverk og en proxy. For proxy-alternativene for gjennomsiktig inspeksjon og HTTPS-eksplisitt inspeksjon må det samme rotsertifikatet installeres på proxyen og på Hybrid Data Security-nodene.
Blokkert ekstern DNS-oppløsningsmodus (eksplisitte proxy-konfigurasjoner)
Når du registrerer en node eller sjekker nodens proxy-konfigurasjon, tester prosessen DNS-oppslag og tilkobling til Cisco Webex skyen. I distribusjoner med eksplisitte proxy-konfigurasjoner som ikke tillater ekstern DNS-oppløsning for interne klienter, hvis noden ikke kan spørre DNS-serverne, går den automatisk til modus for blokkert ekstern DNS-oppløsning. I denne modusen kan noderegistrering og andre proxy-tilkoblingstester fortsette.
Krav til hybrid datasikkerhet for flere leietakere
Cisco WebexLisenskrav
Slik distribuerer du hybriddatasikkerhet for flere leietakere:
-
Leietakerorganisasjoner: Du må ha Pro Pack forCisco Webex Control Hub. (Se https://www.cisco.com/go/pro-pack.)
Krav til Docker Desktop
Før du installerer HDS-nodene dine, trenger du Docker Desktop for å kjøre et installasjonsprogram. Docker oppdaterte nylig sin lisensieringsmodell. Organisasjonen din kan kreve et betalt abonnement for Docker Desktop. For detaljer, se Docker-blogginnlegget, "Docker oppdaterer og utvider produkt abonnementene våre».
Kunder uten Docker Desktop-lisens kan bruke et åpen kildekode-beholderadministrasjonsverktøy som Podman Desktop til å kjøre, administrere og opprette containere. Se Kj ør HDS-installasjonsverktøy ved hjelp av Podman Desktop for detaljer.
X.509-sertifikatkrav
Sertifikatkjeden må oppfylle følgende krav:
|
Krav |
Detaljer |
|---|---|
| |
|
CN trenger ikke å være tilgjengelig eller være en live vert. Vi anbefaler at du bruker et navn som gjenspeiler organisasjonen din, for eksempel CN må ikke inneholde et * (jokertegn). CN brukes til å verifisere Hybrid Data Security-nodene til Webex App-klienter. Alle Hybrid Data Security-nodene i klyngen bruker det samme sertifikatet. KMS identifiserer seg ved hjelp av CN-domenet, ikke et domene som er definert i x.509v3 SAN-feltene. Når du har registrert en node med dette sertifikatet, støtter vi ikke endring av CN-domenenavnet. |
|
KMS-programvaren støtter ikke SHA1-signaturer for validering av tilkoblinger til andre organisasjoners KMS-er. |
|
Du kan bruke en omformer som OpenSSL til å endre sertifikatformatet. Du må skrive inn passordet når du kjører HDS Setup Tool. |
| Bare RSA-sertifikater støttes. |
KMS-programvaren håndhever ikke nøkkelbruk eller utvidede nøkkelbruksbegrensninger. Noen sertifikatautoriteter krever at utvidede nøkkelbruksbegrensninger brukes på hvert sertifikat, for eksempel servergodkjenning. Det er greit å bruke serverautentisering eller andre innstillinger.
Krav til virtuell vert
De virtuelle vertene du vil konfigurere som Hybrid Data Security-noder i klyngen, har følgende krav:
-
Minst to separate verter (3 anbefales) plassert i samme sikre datasenter
-
Støttede hypervisorer:
-
VMware ESXi 7.0 eller 8.0.
- Cisco Enterprise Network Function Virtualization Infrastructure Software (NFVIS) versjon 26.2.1.
- Nutanix AOS 7.5.x med Nutanix AHV 11.0.x.
-
-
Minimum 4 vCPUer, 8 GB hovedminne, 30 GB lokal harddiskplass per server.
Databaseserverkrav
Opprett en ny database for nøkkel lagring. Ikke bruk standarddatabasen. HDS-programmene oppretter databaseskjemaet når de er installert.
Det er to alternativer for databaseserver. Kravene til hver er som følger:
|
PostgreSQL |
Microsoft SQL Server |
|---|---|
|
|
|
Minimum 8 vCPUer, 16 GB hovedminne, tilstrekkelig harddiskplass og overvåking for å sikre at den ikke overskrides (2 TB anbefales hvis du vil kjøre databasen i lang tid uten å måtte øke lagringsplassen) |
Minimum 8 vCPUer, 16 GB hovedminne, tilstrekkelig harddiskplass og overvåking for å sikre at den ikke overskrides (2 TB anbefales hvis du vil kjøre databasen i lang tid uten å måtte øke lagringsplassen) |
HDS-programvaren installerer for øyeblikket følgende driverversjoner for kommunikasjon med databaseserveren:
|
PostgreSQL |
Microsoft SQL Server |
|---|---|
|
Postgres JDBC-driver 42.2.5 |
SQL Server JDBC-driver 4.6 Denne driverversjonen støtter SQL Server Always On (Al ways On Failover Cluster Instances og Al ways On Tilgjengelighetsgrupper). |
Tilleggskrav for Windows-godkjenning mot Microsoft SQL Server
Hvis du vil at HDS-noder skal bruke Windows-godkjenning for å få tilgang til nøkkellagringsdatabasen på Microsoft SQL Server, trenger du følgende konfigurasjon i miljøet ditt:
-
HDS-nodene, Active Directory infrastrukturen og MS SQL Server må alle synkroniseres med NTP.
-
Windows-kontoen du oppgir til HDS-noder, må ha lese/skrivetilgang til databasen.
-
DNS-serverne du oppgir til HDS-noder, må kunne løse nøkkeldistribusjonssenter (KDC).
-
Du kan registrere HDS-databaseforekomsten på Microsoft SQL Server som et Service Principal Name (SPN) på din. Active Directory Se Registrer et hovednavn for tjenesten for Kerberos-tilkoblinger.
HDS-oppsettverktøyet, HDS-starteren og lokal KMS må alle bruke Windows-godkjenning for å få tilgang til nøkkellagringsdatabasen. De bruker detaljene fra ISO-konfigurasjonen til å konstruere SPN når du ber om tilgang med Kerberos-godkjenning.
Eksterne tilkoblingskrav
Konfigurer brannmuren for å tillate følgende tilkobling for HDS-programmene:
|
Søknad |
Protokoll |
Havn |
Retning fra app |
Bestemmelsessted |
|---|---|---|---|---|
|
Hybrid datasikkerhetsnoder |
TCP |
443 |
Utgående HTTPS og WSS |
|
|
HDS-oppsettverktøy |
TCP |
443 |
Utgående HTTPS |
|
Hybrid Data Security-nodene fungerer med NAT (Network Access Translation) eller bak en brannmur, så lenge NAT eller brannmuren tillater de nødvendige utgående tilkoblingene til domenedestinasjonene i tabellen ovenfor. For tilkoblinger som går inn til Hybrid Data Security-nodene, bør ingen porter være synlige fra internett. I datasenteret trenger klienter tilgang til Hybrid Data Security-nodene på TCP-portene 443 og 22 for administrative formål.
URL-adressene for Common Identity (CI) -vertene er regionspesifikke. Dette er de nåværende CI-vertene:
|
Regionen |
Vanlige URL-adresser for identitetsvert |
|---|---|
|
Amerika |
|
|
Den europeiske union |
|
|
-Canada |
|
| - Singapore |
|
| De forente arabiske emirater |
|
Proxy-serverkrav
-
Vi støtter offisielt følgende proxy-løsninger som kan integreres med dine Hybrid Data Security-noder.
-
Gjennomsiktig proxy — Cisco Web Security Appliance (WSA).
-
Eksplisitt proxy - blekksprut.
Squid-proxyer som inspiserer HTTPS-trafikk kan forstyrre etableringen av websocket (wss:) -tilkoblinger. Hvis du vil omgå dette problemet, kan du se Konfigurere Squid-proxyer for hybrid datasikkerhet.
-
-
Vi støtter følgende godkjenningstypekombinasjoner for eksplisitte proxyer:
-
Ingen autentisering med HTTP eller HTTPS
-
Grunnleggende godkjenning med HTTP eller HTTPS
-
Fordøst-godkjenning bare med HTTPS
-
-
For en gjennomsiktig inspekterende proxy eller en HTTPS-eksplisitt proxy, må du ha en kopi av proxy-rotsertifikatet. Distribusjonsinstruksjonene i denne veiledningen forteller deg hvordan du laster opp kopien til klareringslagrene til Hybrid Data Security-nodene.
-
Nettverket som er vert for HDS-nodene, må konfigureres til å tvinge utgående TCP-trafikk på port 443 til å rute gjennom proxyen.
-
Proxyer som inspiserer netttrafikk kan forstyrre nettkontaktene.
Hvis dette problemet oppstår, vil det løse problemet ved å omgå (ikke inspisere) trafikk tilwbx2.com og ciscospark.com.
Fullfør forutsetningene for hybrid datasikkerhet
| 1 |
Forsikre deg om at organisasjonen din ikke har HDS aktivert i Control Hub, og få legitimasjonen til en konto med partnerens fulle administrator- og fullstendige administratorrettigheter. Forsikre deg om at Webex-kundeorganisasjonen din er aktivert for Pro Pack forCisco Webex Control Hub. Kontakt din Cisco-partner eller kundeansvarlig for å få hjelp med denne prosessen. Kundeorganisasjoner bør ikke ha noen eksisterende HDS-distribusjon. |
| 2 |
Velg et domenenavn for HDS-distribusjonen (for eksempel |
| 3 |
Forbered identiske virtuelle verter som du vil konfigurere som Hybrid Data Security-noder i klyngen. Du trenger minst to separate verter (3 anbefales) plassert i samme sikre datasenter, som oppfyller kravene i Virtual Host Requirements. |
| 4 |
Klargjør databaseserveren som skal fungere som nøkkeldatalageret for klyngen, i henhold til databaseserverkravene. Databaseserveren må være plassert i det sikre datasenteret med de virtuelle vertene. |
| 5 |
For rask gjenoppretting etter katastrofe, sett opp et sikkerhetskopimiljø i et annet datasenter. Sikkerhetskopieringsmiljøet speiler produksjonsmiljøet til virtuelle maskiner og en sikkerhetskopieringsdatabaseserver. Hvis produksjonen for eksempel har 3 virtuelle maskiner som kjører HDS-noder, bør sikkerhetskopimiljøet ha tre virtuelle maskiner. |
| 6 |
Sett opp en syslog-vert for å samle logger fra nodene i klyngen. Samle nettverksadressen og syslog-porten (standard er UDP 514). |
| 7 |
Opprett en sikker sikkerhetskopieringspolicy for Hybrid Data Security-nodene, databaseserveren og syslog-verten. For å forhindre tap av data som ikke kan gjenopprettes, må du som minimum sikkerhetskopiere databasen og konfigurasjons-ISO-filen som er generert for Hybrid Data Security-nodene. Fordi Hybrid Data Security-nodene lagrer nøklene som brukes til kryptering og dekryptering av innhold, vil manglende opprettholdelse av en operativ distribusjon føre til at innholdet ikke kan gjenopprettes. Webex App-klienter hurtigbuffer nøklene sine, så et strømbrudd kan ikke merkes umiddelbart, men vil bli tydelig over tid. Selv om midlertidige avbrudd er umulige å forhindre, kan de gjenopprettes. Fullstendig tap (ingen sikkerhetskopier tilgjengelig) av enten databasen eller konfigurasjons-ISO-filen vil imidlertid føre til at kundedata ikke kan gjenopprettes. Operatørene av Hybrid Data Security-nodene forventes å opprettholde hyppige sikkerhetskopier av databasen og konfigurasjons-ISO-filen, og være forberedt på å gjenoppbygge Hybrid Data Security-datasenteret hvis det oppstår en katastrofal feil. |
| 8 |
Kontroller at brannmurkonfigurasjonen tillater tilkobling for Hybrid Data Security-noder som beskrevet i Eksterne tilkoblingskrav. |
| 9 |
Installer Docker (https://www.docker.com) på en hvilken som helst lokal maskin som kjører et støttet operativsystem (Microsoft Windows10 Professional eller Enterprise 64-bit, eller Mac OSX Yosemite 10.10.3 eller nyere) med en nettleser som kan få tilgang til den på http://127.0.0.1:8080. Du bruker Docker-forekomsten til å laste ned og kjøre HDS Setup Tool, som bygger den lokale konfigurasjonsinformasjonen for alle Hybrid Data Security-nodene. Du trenger kanskje en Docker Desktop-lisens. Se K rav til Docker Desktop hvis du vil ha mer informasjon. Hvis du vil installere og kjøre HDS Setup Tool, må den lokale maskinen ha tilkoblingen som er beskrevet i Eksterne tilkoblingskrav. |
| 10 |
Hvis du integrerer en proxy med Hybrid Data Security, må du kontrollere at den oppfyller proxy-serverkravene. |
Oppgaveflyt for distribusjon av hybrid datasikkerhet
| 1 |
Utfør første oppsett og last ned installasjonsfiler Last ned OVA-filen til din lokale maskin for senere bruk. |
| 2 |
Opprette en konfigurasjons-ISO for HDS-vertene Bruk HDS Setup Tool til å opprette en ISO-konfigurasjonsfil for Hybrid Data Security-nodene. |
| 3 |
Opprett en virtuell maskin fra OVA-filen og utfør innledende konfigurasjon, for eksempel nettverksinnstillinger. Konfigurering av nettverksinnstillinger under OVA-distribusjon støttes bare på ESXi 7.0 og 8.0. For NFVIS-distribusjoner, se Installere HDS Host OVA på NF VIS. For Nutanix-distribusjoner, se Installere HDS Host OVA på Nutanix |
| 4 |
Konfigurere virtuell hybriddatasikkerhet Logg på VM-konsollen og angi påloggingsinformasjonen. Konfigurer nettverksinnstillingene for noden hvis du ikke konfigurerte dem på tidspunktet for OVA-distri busjonen. For NFVIS-distribusjoner, se Konfigurere virtuell hybriddatasikkerhet på NFVIS. For Nutanix-distribusjoner, se Opprette virtuell hybriddatasikkerhet på Nutanix |
| 5 |
Last opp og monter HDS-konfigurasjons-ISO Konfigurer VM fra ISO-konfigurasjonsfilen du opprettet med HDS Setup Tool. For NFVIS-distribusjoner, se Last opp og montere HDS-konfigurasjons-ISO. For Nutanix-distribusjoner, se Last opp og montere HDS-konfigurasjons-ISO |
| 6 |
Konfigurer HDS-noden for proxy-integrering Hvis nettverksmiljøet krever proxy-konfigurasjon, angir du typen proxy du skal bruke for noden, og legger til proxy-sertifikatet i klareringslageret om nødvendig. |
| 7 |
Registrer den første noden i klyngen Registrer den virtuelle maskinen med Cisco Webex skyen som en hybrid datasikkerhetsnode. |
| 8 |
Opprett og registrer flere noder Fullfør klyngeoppsettet. |
| 9 |
Aktiver HDS for flere leietakere på Partner Hub. Aktiver HDS og administrer leietakerorganisasjoner på Partner Hub. |
Utfør første oppsett og last ned installasjonsfiler
I denne oppgaven laster du ned en OVA-fil til maskinen din (ikke til serverne du konfigurerer som Hybrid Data Security-noder). Du bruker denne filen senere i installasjonsprosessen.
| 1 |
Logg på Partner Hub, og klikk deretter T jenester. |
| 2 |
Finn Hybrid Data Security-kortet i Hybrid-delen, og klikk deretter Konfigurer. Å klikke på Konfigurer i Partner Hub er avgjørende for distribusjonsprosessen. Ikke fortsett med installasjonen uten å fullføre dette trinnet. |
| 3 |
Klikk Legg til en ressurs og klikk Last ned.OVA-fil på Install and Configure Software- kortet. Eldre versjoner av programvarepakken (OVA) vil ikke være kompatible med de nyeste Hybrid Data Security-oppgraderingene. Dette kan føre til problemer mens du oppgraderer programmet. Sørg for at du laster ned den nyeste versjonen av OVA-filen. Du kan også laste ned OVA når som helst fra Hjelp- delen. Klikk Inn . OVA-filen begynner automatisk å
laste ned. Lagre filen til et sted på
maskinen.
|
Opprette en konfigurasjons-ISO for HDS-vertene
Installasjonsprosessen for hybriddatasikkerhet oppretter en ISO-fil. Deretter bruker du ISO til å konfigurere Hybrid Data Security-verten.
Før du begynner
-
HDS-installasjonsverktøyet kjører som en Docker-beholder på en lokal maskin. For å få tilgang til den, kjør Docker på den maskinen. Installasjonsprosessen krever legitimasjonen til en Partner Hub-konto med fullstendige administratorrettigheter.
Hvis du ikke har en Docker Desktop-lisens, kan du bruke Podman Desktop til å kjøre HDS Setup-verktøyet for trinn 1 til 5 i fremgangsmåten nedenfor. Se Kj ør HDS-installasjonsverktøy ved hjelp av Podman Desktop for detaljer.
Hvis HDS-installasjonsverktøyet kjører bak en proxy i miljøet ditt, må du oppgi proxy-innstillingene (server, port, legitimasjon) gjennom Docker-miljøvariablene når du tar opp Docker-beholderen i trinn 5 nedenfor. Denne tabellen gir noen mulige miljøvariabler:
Beskrivelse
Variabel
HTTP Proxy uten godkjenning
GLOBAL_AGENT_HTTP_PROXY = http://SERVER_IP:PORTHTTPS Proxy uten godkjenning
GLOBAL_AGENT_HTTPS_PROXY= http://SERVER_IP:PORTHTTP Proxy med autentisering
GLOBAL_AGENT_HTTP_PROXY = http://USERNAME:PASSWORD@SERVER_IP:PORTHTTPS Proxy med autentisering
GLOBAL_AGENT_HTTPS_PROXY= http://USERNAME:PASSWORD@SERVER_IP:PORT -
Konfigurasjons-ISO-filen du genererer inneholder hovednøkkelen som krypterer PostgreSQL- eller Microsoft SQL Server-databasen. Du trenger den siste kopien av denne filen når du gjør konfigurasjonsendringer, som disse:
-
Databaselegitimasjon
-
Sertifikatoppdateringer
-
Endringer i autorisasjonspolitikken
-
-
Hvis du planlegger å kryptere databasetilkoblinger, konfigurerer du PostgreSQL- eller SQL Server-distribusjonen for TLS.
| 1 |
Skriv inn riktig kommando for miljøet på maskinens kommandolinje: I vanlige miljøer: I FedRAMP-miljøer: Dette trinnet rydder opp tidligere HDS-oppsettverktøybilder. Hvis det ikke er noen tidligere bilder, returnerer det en feil som du kan ignorere. | ||||||||||
| 2 |
Hvis du vil logge på Docker-bilderegisteret, skriver du inn følgende: | ||||||||||
| 3 |
Ved passordledeteksten skriver du inn denne hashkoden: | ||||||||||
| 4 |
Last ned det nyeste stabile bildet for miljøet ditt: I vanlige miljøer: I FedRAMP-miljøer: | ||||||||||
| 5 |
Når trekket er fullført, skriver du inn riktig kommando for miljøet ditt:
Når containeren kjører, ser du «Ekspresserverlytting på port 8080.» | ||||||||||
| 6 |
Installasjonsverktøyet støtter ikke tilkobling til localhost via http://localhost:8080. Bruk http://127.0.0.1:8080 for å koble til localhost. Bruk en nettleser til å gå til localhost, Verktøyet bruker denne første oppføringen av brukernavnet for å angi riktig miljø for den kontoen. Verktøyet viser deretter standard påloggingsprompt. | ||||||||||
| 7 |
Når du blir bedt om det, angir du påloggingsinformasjonen for Partner Hub administrator, og klikker deretter Logg på for å gi tilgang til de nødvendige tjenestene for Hybrid Data Security. | ||||||||||
| 8 |
Klikk Komme i gang på oversiktssiden Installasjons verktøy. | ||||||||||
| 9 |
På ISO-Import -siden har du disse alternativene:
| ||||||||||
| 10 |
Kontroller at X.509-sertifikatet oppfyller kravene i X.509-sertifik atkrav.
| ||||||||||
| 11 |
Skriv inn databaseadressen og kontoen for HDS for å få tilgang til nøkkeldatalageret: | ||||||||||
| 12 |
Velg en TLS-databasetilkoblingsmodus:
Når du laster opp rotsertifikatet (om nødvendig) og klikker Fortsett, tester HDS-installasjonsverktøyet TLS-tilkoblingen til databaseserveren. Verktøyet verifiserer også sertifikatsignereren og vertsnavnet, hvis aktuelt. Hvis en test mislykkes, viser verktøyet en feilmelding som beskriver problemet. Du kan velge om du vil ignorere feilen og fortsette med oppsettet. (På grunn av tilkoblingsforskjeller kan HDS-nodene kanskje opprette TLS-tilkoblingen selv om HDS Setup Tool-maskinen ikke kan teste den.) | ||||||||||
| 13 |
På Systemlogger-siden konfigurerer du Syslogd-serveren: | ||||||||||
| 14 |
(Valgfritt) Du kan endre standardverdien for enkelte databasetilkoblingsparametere i Avan serte innstillinger. Vanligvis er denne parameteren den eneste du kanskje vil endre: | ||||||||||
| 15 |
Klikk Fortsett på skjerm bildet Tilbakestill passord for tjenestekon toer. Passord for tjenestekontoer har en levetid på ni måneder. Bruk dette skjermbildet når passordene dine nærmer seg utløpet, eller du vil tilbakestille dem for å ugyldiggjøre tidligere ISO-filer. | ||||||||||
| 16 |
Klikk Last ned ISO-fil. Lagre filen på et sted som er lett å finne. | ||||||||||
| 17 |
Lag en sikkerhetskopi av ISO-filen på ditt lokale system. Hold sikkerhetskopien sikker. Denne filen inneholder en hovedkrypteringsnøkkel for databasens innhold. Begrens tilgangen til bare de Hybrid Data Security-administratorene som skal gjøre konfigurasjonsendringer. | ||||||||||
| 18 |
Hvis du vil slå av installasjonsverktøyet, skriver du |
Hva du skal gjøre videre
Sikkerhetskopier konfigurasjons-ISO-filen. Du trenger det for å opprette flere noder for gjenoppretting, eller for å gjøre konfigurasjonsendringer. Hvis du mister alle kopier av ISO-filen, har du også mistet hovednøkkelen. Det er ikke mulig å gjenopprette nøklene fra PostgreSQL- eller Microsoft SQL Server-databasen.
Vi har aldri en kopi av denne nøkkelen og kan ikke hjelpe hvis du mister den.
Installer HDS Host OVA
Hvis du distribuerer HDS på en NFVIS-hypervisor, kan du se delen Installere HDS-verten OVA på NFVIS.
Hvis du distribuerer HDS på en Nutanix-hypervisor, se delen Installer HDS Host OVA på Nut anix.
| 1 |
Bruk VMware vSphere-klienten på datamaskinen din til å logge på den virtuelle ESXi-verten. |
| 2 |
Velg Fil > Distribuer OVF-mal. |
| 3 |
I veiviseren angir du plasseringen til OVA-filen du lastet ned tidligere, og klikker deretter Neste. |
| 4 |
På siden Velg et navn og en mappe angir du et virtuell maskinnavn for noden (for eksempel «HDS_node_1"), velger en plassering der den virtuelle maskinnodedistribusjonen kan ligge, og klikk deretter Neste. |
| 5 |
Velg målberegningsressursen på siden Velg en beregningsressurs, og klikk deretter Neste. En valideringskontroll kjøres. Etter at den er ferdig, vises maldetaljene. |
| 6 |
Bekreft maldetaljene, og klikk deretter Neste. |
| 7 |
Hvis du blir bedt om å velge ressurskonfigurasjonen på Konfigurasjon -siden, klikker du 4 CPU og deretter Neste. |
| 8 |
Klikk Neste på Velg lagring s-siden for å godta standard diskformat og virtuell lagringspolicy. |
| 9 |
På siden Velg nettverk velger du nettverksalternativet fra listen over oppføringer for å gi ønsket tilkobling til VM. |
| 10 |
Konfigurer følgende nettverksinnstillinger på Tilpass mal -siden:
Hvis du foretrekker det, kan du hoppe over nettverksinnstillingskonfigurasjonen og følge trinnene i Konfigurere virtuell hybriddatasik kerhet for å konfigurere innstillingene fra nodekonsollen. Alternativet for å konfigurere nettverksinnstillinger under OVA-distribusjon er testet med ESXi 7.0 og 8.0. Alternativet er kanskje ikke tilgjengelig i tidligere versjoner. |
| 11 |
Høyreklikk noden VM, og velg deretter . Hybrid Data Security-programvaren installeres som gjest på VM-verten. Du er nå klar til å logge på konsollen og konfigurere noden. Feilsøkingstips Du kan oppleve en forsinkelse på noen minutter før nodebeholderne kommer opp. En brobrannmurmelding vises på konsollen under første oppstart, der du ikke kan logge på. |
Konfigurere virtuell hybriddatasikkerhet
Bruk denne fremgangsmåten til å logge på VM-konsollen i Hybrid Data Security-noden for første gang og angi påloggingsinformasjonen. Du kan også bruke konsollen til å konfigurere nettverksinnstillingene for noden hvis du ikke konfigurerte dem på tidspunktet for OVA-distribusjonen.
Hvis du distribuerer HDS på en NFVIS-hypervisor, kan du se avsnittet Konfigurere virtuell hybriddatasikkerhet på NF VIS.
Hvis du distribuerer HDS på en Nutanix-hypervisor, kan du se delen Opprett Hybrid Data Security VM på Nut anix.
| 1 |
I VMware vSphere-klienten velger du Hybrid Data Security-noden VM og velger kategorien Konsoll. VM starter opp og en påloggingsprompt vises. Hvis påloggingsprompten ikke vises, trykker du på Enter.
|
| 2 |
Bruk følgende standard pålogging og passord for å logge på og endre legitimasjonen: Siden du logger på VM for første gang, må du endre administratorpassordet. |
| 3 |
Hvis du allerede har konfigurert nettverksinnstillingene i Installer HDS Host OVA, hopper du over resten av denne prosedyren. Ellers velger du alternativet Rediger konfigurasjon i hovedmenyen. |
| 4 |
Sett opp en statisk konfigurasjon med IP-adresse, maske, gateway og DNS-informasjon. Noden din skal ha en intern IP-adresse og DNS-navn. DHCP støttes ikke. |
| 5 |
(Valgfritt) Endre vertsnavn, domene eller NTP-server (er), hvis det er nødvendig for å matche nettverkspolicyen din. Du trenger ikke angi at domenet samsvarer med domenet du brukte til å skaffe X.509-sertifikatet. |
| 6 |
Lagre nettverkskonfigurasjonen og start VM på nytt slik at endringene trer i kraft. |
Last opp og monter HDS-konfigurasjons-ISO
Hvis du distribuerer HDS på en NFVIS-hypervisor, kan du se delen Last opp og montere HDS-konfigurasjonen ISO-delen.
Hvis du distribuerer HDS på en Nutanix-hypervisor, kan du se delen Last opp og montere HDS-konfigurasjonen ISO-delen.
Før du begynner
Siden ISO-filen inneholder hovednøkkelen, bør den bare eksponeres på et «behov for å vite» -basis, for tilgang for Hybrid Data Security VMs og eventuelle administratorer som måtte trenge å gjøre endringer. Forsikre deg om at bare disse administratorene har tilgang til datalageret.
| 1 |
Last opp ISO-filen fra datamaskinen din: |
| 2 |
Monter ISO-filen: |
Hva du skal gjøre videre
Hvis IT-policyen krever det, kan du eventuelt avmontere ISO-filen etter at alle nodene dine har plukket opp konfigurasjonsendringene. Se (Valgfritt) Avmontere ISO etter HDS-konfigurasjon for detaljer.
Konfigurer HDS-noden for proxy-integrering
Hvis nettverksmiljøet krever en proxy, bruker du denne fremgangsmåten til å angi hvilken type proxy du vil integrere med Hybrid Data Security. Hvis du velger en gjennomsiktig inspekterende proxy eller en HTTPS-eksplisitt proxy, kan du bruke nodens grensesnitt til å laste opp og installere rotsertifikatet. Du kan også sjekke proxy-tilkoblingen fra grensesnittet, og feilsøke potensielle problemer.
Før du begynner
-
Se Proxy-støtte for en oversikt over proxy-alternativene som støttes.
| 1 |
Skriv inn URL-adressen for HDS-nodeoppsett |
| 2 |
Gå til Trust Store & Proxy, og velg deretter et alternativ:
Følg de neste trinnene for en gjennomsiktig inspeksjonsproxy, en HTTP-eksplisitt proxy med grunnleggende godkjenning eller en HTTPS-eksplisitt proxy. |
| 3 |
Klikk Last opp et rotsertifikat eller sluttenhetssertifikat, og naviger deretter til et velg rotsertifikatet for proxyen. Sertifikatet er lastet opp, men ikke installert ennå fordi du må starte noden på nytt for å installere sertifikatet. Klikk på chevronpilen ved navnet på sertifikatutstederen for å få flere detaljer, eller klikk på Slett hvis du har gjort en feil og vil laste opp filen på nytt. |
| 4 |
Klikk Kontroller proxy-tilkobling for å teste nettverkstilkoblingen mellom noden og proxyen. Hvis tilkoblingstesten mislykkes, ser du en feilmelding som viser årsaken og hvordan du kan rette problemet. Hvis du ser en melding om at ekstern DNS-oppløsning ikke var vellykket, kunne ikke noden nå DNS-serveren. Denne tilstanden forventes i mange eksplisitte proxy-konfigurasjoner. Du kan fortsette med oppsettet, og noden vil fungere i blokkert ekstern DNS-oppløsningsmodus. Hvis du tror dette er en feil, fullfører du disse trinnene og ser deretter Slå av blokkert ekstern DNS-oppløsningsmodus. |
| 5 |
Etter at tilkoblingstesten er bestått, for eksplisitt proxy satt til bare https, slå bryteren på til Rute alle port 443/444 https-forespørsler fra denne noden gjennom den eksplisitte proxyen. Denne innstillingen krever 15 sekunder for å tre i kraft. |
| 6 |
Klikk Installer alle sertifikater i klareringsbutikken (vises for en eksplisitt HTTPS-proxy eller en gjennomsiktig inspeksjonsproxy) eller Start på nytt (vises for en eksplisitt HTTP-proxy), les ledeteksten og klikk deretter Installer hvis du er klar. Noden starter på nytt innen få minutter. |
| 7 |
Når noden har startet på nytt, logger du på igjen om nødvendig, og åpner deretter Oversikt- siden for å sjekke tilkoblingskontrollene for å sikre at de alle har grønn status. Proxy-tilkoblingskontrollen tester bare et underdomene til webex.com. Hvis det er tilkoblingsproblemer, er et vanlig problem at noen av skydomenene som er oppført i installasjonsinstruksjonene, blir blokkert ved proxyen. |
Registrer den første noden i klyngen
Når du registrerer den første noden, oppretter du en klynge som noden er tilordnet. En klynge inneholder en eller flere noder som er distribuert for å gi redundans.
Før du begynner
-
Når du begynner registrering av en node, må du fullføre den innen 60 minutter, eller du må starte på nytt.
-
Forsikre deg om at eventuelle popup-blokkeringer i nettleseren din er deaktivert, eller at du tillater et unntak for admin.webex.com.
| 1 |
Logg på https://admin.webex.com. |
| 2 |
Velg Tjenester fra menyen til venstre på skjermen. |
| 3 |
I Hybrid-delen finner du Hybrid Data Security-kort og klikker på Konfigurer. |
| 4 |
Klikk Legg til en ressurs på siden som åpnes. |
| 5 |
I det første feltet i Oppre tt et nytt klyng ekort skriver du inn et navn på klyngen du vil tilordne Hybrid Data Security-noden til. Vi anbefaler at du navngir en klynge basert på hvor nodene i klyngen befinner seg geografisk. Eksempler: «San Francisco» eller «New York» eller «Dallas» |
| 6 |
I det andre feltet skriver du inn den interne IP-adressen eller fullt kvalifisert domenenavn (FQDN) til noden din og klikker Legg til nederst på skjermen. Denne IP-adressen eller FQDN skal samsvare med IP-adressen eller vertsnavnet og domenet du brukte i Konfigurere virtuell hybriddatasikkerhet. En melding vises som indikerer at du kan registrere noden din til Webex.
|
| 7 |
Klikk på Gå til node. Etter noen øyeblikk blir du omdirigert til nodetilkoblingstestene for Webex-tjenester. Hvis alle testene er vellykkede, vises siden Tillat tilgang til hybrid datasikkerhetsnode. Der bekrefter du at du vil gi tillatelser til Webex-organisasjonen din for å få tilgang til noden din. |
| 8 |
Merk av for Tillat tilgang til din hybride datasikkerhetsnode, og klikk deretter Fortsett. Kontoen din er validert, og meldingen «Registrering fullført» indikerer at noden din nå er registrert i Webex-skyen.
|
| 9 |
Klikk på koblingen eller lukk fanen for å gå tilbake til siden Partner Hub Hybrid Data Security. På siden Hybrid Data Security vises den nye klyngen som inneholder noden du registrerte under kategorien Ress ur ser. Noden laster automatisk ned den nyeste programvaren fra skyen.
|
Opprett og registrer flere noder
Før du begynner
-
Når du begynner registrering av en node, må du fullføre den innen 60 minutter, eller du må starte på nytt.
-
Forsikre deg om at eventuelle popup-blokkeringer i nettleseren din er deaktivert, eller at du tillater et unntak for admin.webex.com.
| 1 |
Opprett en ny virtuell maskin fra OVA, gjenta trinnene i Installer HDS Host OVA. |
| 2 |
Konfigurer den første konfigurasjonen på den nye virtuelle maskinen, og gjenta trinnene i Konfigurere virtuell hybriddatasikkerhet. |
| 3 |
Gjenta trinnene i Last opp og monter HDS-konfigurasjons-ISO på den nye VM. |
| 4 |
Hvis du konfigurerer en proxy for distribusjonen, gjentar du trinnene i Konfigurer HDS-noden for proxy-integrering etter behov for den nye noden. |
| 5 |
Registrer noden. |
Hva du skal gjøre videre
Aktiver HDS for flere leietakere på Partner Hub
Denne oppgaven sikrer at alle brukere av kundeorganisasjonene kan begynne å utnytte HDS for lokale krypteringsnøkler og andre sikkerhetstjenester.
Før du begynner
Forsikre deg om at du har fullført konfigureringen av Multi-Tenant HDS-klyngen med det nødvendige antall noder.
| 1 |
Logg på https://admin.webex.com. |
| 2 |
Velg Tjenester fra menyen til venstre på skjermen. |
| 3 |
I Hybrid-delen finner du Hybrid Data Security og klikker på Rediger innstillinger. |
| 4 |
Klikk Aktiver HDS på HDS-statuskortet. |
Legge til leietakerorganisasjoner i Partner Hub
I denne oppgaven tilordner du kundeorganisasjoner til Hybrid Data Security Cluster.
| 1 |
Logg på https://admin.webex.com. |
| 2 |
Velg Tjenester fra menyen til venstre på skjermen. |
| 3 |
I Hybrid-delen finner du Hybrid Data Security og klikker på Vis alle. |
| 4 |
Gå til kategorien Tildelte kunder. Kateg orien Tildelte kunder vises ikke før du oppretter en klynge. |
| 5 |
Klikk på Legg til kunder. |
| 6 |
Velg kunden du vil legge til fra rullegardinmenyen. |
| 7 |
Klikk Legg til, kunden blir lagt til klyngen. |
| 8 |
Gjenta trinn 5 til 7 for å legge til flere kunder i klyngen. |
| 9 |
Klikk på Ferdig nederst på skjermen når du har lagt til kundene. Tilførte kunder vil bli synkronisert på tvers av alle tilgjengelige klynger. |
Hva du skal gjøre videre
Opprett kundehovednøkler (CMK-er) ved hjelp av HDS-oppsettverktøyet
Før du begynner
Tilordne kunder som beskrevet i Legg til leietakerorganisasjoner i Partner Hub. Kjør HDS-installasjonsverktøyet for å fullføre konfigurasjonsprosessen for de nylig tilføyde kundeorganisasjonene.
-
HDS-installasjonsverktøyet kjører som en Docker-beholder på en lokal maskin. For å få tilgang til den, kjør Docker på den maskinen. Installasjonsprosessen krever legitimasjon for en Partner Hub-konto med fullstendige administratorrettigheter for organisasjonen.
Hvis HDS-installasjonsverktøyet kjører bak en proxy i miljøet ditt, må du oppgi proxy-innstillingene (server, port, legitimasjon) gjennom Docker-miljøvariablene når du tar opp Docker-beholderen i trinn 5. Denne tabellen gir noen mulige miljøvariabler:
Beskrivelse
Variabel
HTTP Proxy uten godkjenning
GLOBAL_AGENT_HTTP_PROXY = http://SERVER_IP:PORTHTTPS Proxy uten godkjenning
GLOBAL_AGENT_HTTPS_PROXY= http://SERVER_IP:PORTHTTP Proxy med autentisering
GLOBAL_AGENT_HTTP_PROXY = http://USERNAME:PASSWORD@SERVER_IP:PORTHTTPS Proxy med autentisering
GLOBAL_AGENT_HTTPS_PROXY= http://USERNAME:PASSWORD@SERVER_IP:PORT -
Konfigurasjons-ISO-filen du genererer inneholder hovednøkkelen som krypterer PostgreSQL- eller Microsoft SQL Server-databasen. Du trenger den siste kopien av denne filen når du gjør konfigurasjonsendringer, som disse:
-
Databaselegitimasjon
-
Sertifikatoppdateringer
-
Endringer i autorisasjonspolitikken
-
-
Hvis du planlegger å kryptere databasetilkoblinger, konfigurerer du PostgreSQL- eller SQL Server-distribusjonen for TLS.
Installasjonsprosessen for hybriddatasikkerhet oppretter en ISO-fil. Deretter bruker du ISO til å konfigurere Hybrid Data Security-verten.
| 1 |
Skriv inn riktig kommando for miljøet på maskinens kommandolinje: I vanlige miljøer: I FedRAMP-miljøer: Dette trinnet rydder opp tidligere HDS-oppsettverktøybilder. Hvis det ikke er noen tidligere bilder, returnerer det en feil som du kan ignorere. |
| 2 |
Hvis du vil logge på Docker-bilderegisteret, skriver du inn følgende: |
| 3 |
Ved passordledeteksten skriver du inn denne hashkoden: |
| 4 |
Last ned det nyeste stabile bildet for miljøet ditt: I vanlige miljøer: I FedRAMP-miljøer: |
| 5 |
Når trekket er fullført, skriver du inn riktig kommando for miljøet ditt:
Når containeren kjører, ser du «Ekspresserverlytting på port 8080.» |
| 6 |
Installasjonsverktøyet støtter ikke tilkobling til localhost via http://localhost:8080. Bruk http://127.0.0.1:8080 for å koble til localhost. Bruk en nettleser til å gå til localhost, Verktøyet bruker denne første oppføringen av brukernavnet for å angi riktig miljø for den kontoen. Verktøyet viser deretter standard påloggingsprompt. |
| 7 |
Når du blir bedt om det, angir du påloggingsinformasjonen for Partner Hub administrator, og klikker deretter Logg på for å gi tilgang til de nødvendige tjenestene for Hybrid Data Security. |
| 8 |
Klikk Komme i gang på oversiktssiden Installasjons verktøy. |
| 9 |
Klikk Ja på ISO-import -siden. |
| 10 |
Velg ISO-filen din i nettleseren og last den opp. Sørg for tilkobling til databasen din for å utføre CMK-administrasjon. |
| 11 |
Gå til fanen Ten ant CMK Management, hvor du finner følgende tre måter å administrere leietaker CMK-er på.
|
| 12 |
Når CMK-opprettelsen er vellykket, endres statusen i tabellen fra CMK-administrasjon i påvente til CM K-administr ert. |
| 13 |
Hvis CMK-opprettelsen mislykkes, vises en feil. |
Fjern leietakerorganisasjoner
Før du begynner
Når de er fjernet, vil brukere av kundeorganisasjoner ikke kunne utnytte HDS for sine krypteringsbehov og vil miste alle eksisterende mellomrom. Før du fjerner kundeorganisasjoner, må du kontakte din Cisco-partner eller kontoansvarlig.
| 1 |
Logg på https://admin.webex.com. |
| 2 |
Velg Tjenester fra menyen til venstre på skjermen. |
| 3 |
I Hybrid-delen finner du Hybrid Data Security og klikker på Vis alle. |
| 4 |
Klikk kategorien Til delte kunder på siden som åpnes. |
| 5 |
Fra listen over kundeorganisasjoner som vises, klikker du |
Hva du skal gjøre videre
Fullfør fjerningsprosessen ved å tilbakekalle CMK-ene til kundeorganisasjonene som beskrevet i Tilbakekall CMK-er for leietakere fjernet fra HDS.
Tilbakekall CMK-er for leietakere fjernet fra HDS.
Før du begynner
Fjern kunder som beskrevet i Fjern leietakerorganisasjoner. Kjør HDS-installasjonsverktøyet for å fullføre fjerningsprosessen for kundeorganisasjonene som ble fjernet.
-
HDS-installasjonsverktøyet kjører som en Docker-beholder på en lokal maskin. For å få tilgang til den, kjør Docker på den maskinen. Installasjonsprosessen krever legitimasjon for en Partner Hub-konto med fullstendige administratorrettigheter for organisasjonen.
Hvis HDS-installasjonsverktøyet kjører bak en proxy i miljøet ditt, må du oppgi proxy-innstillingene (server, port, legitimasjon) gjennom Docker-miljøvariablene når du tar opp Docker-beholderen i trinn 5. Denne tabellen gir noen mulige miljøvariabler:
Beskrivelse
Variabel
HTTP Proxy uten godkjenning
GLOBAL_AGENT_HTTP_PROXY = http://SERVER_IP:PORTHTTPS Proxy uten godkjenning
GLOBAL_AGENT_HTTPS_PROXY= http://SERVER_IP:PORTHTTP Proxy med autentisering
GLOBAL_AGENT_HTTP_PROXY = http://USERNAME:PASSWORD@SERVER_IP:PORTHTTPS Proxy med autentisering
GLOBAL_AGENT_HTTPS_PROXY= http://USERNAME:PASSWORD@SERVER_IP:PORT -
Konfigurasjons-ISO-filen du genererer inneholder hovednøkkelen som krypterer PostgreSQL- eller Microsoft SQL Server-databasen. Du trenger den siste kopien av denne filen når du gjør konfigurasjonsendringer, som disse:
-
Databaselegitimasjon
-
Sertifikatoppdateringer
-
Endringer i autorisasjonspolitikken
-
-
Hvis du planlegger å kryptere databasetilkoblinger, konfigurerer du PostgreSQL- eller SQL Server-distribusjonen for TLS.
Installasjonsprosessen for hybriddatasikkerhet oppretter en ISO-fil. Deretter bruker du ISO til å konfigurere Hybrid Data Security-verten.
| 1 |
Skriv inn riktig kommando for miljøet på maskinens kommandolinje: I vanlige miljøer: I FedRAMP-miljøer: Dette trinnet rydder opp tidligere HDS-oppsettverktøybilder. Hvis det ikke er noen tidligere bilder, returnerer det en feil som du kan ignorere. |
| 2 |
Hvis du vil logge på Docker-bilderegisteret, skriver du inn følgende: |
| 3 |
Ved passordledeteksten skriver du inn denne hashkoden: |
| 4 |
Last ned det nyeste stabile bildet for miljøet ditt: I vanlige miljøer: I FedRAMP-miljøer: |
| 5 |
Når trekket er fullført, skriver du inn riktig kommando for miljøet ditt:
Når containeren kjører, ser du «Ekspresserverlytting på port 8080.» |
| 6 |
Installasjonsverktøyet støtter ikke tilkobling til localhost via http://localhost:8080. Bruk http://127.0.0.1:8080 for å koble til localhost. Bruk en nettleser til å gå til localhost, Verktøyet bruker denne første oppføringen av brukernavnet for å angi riktig miljø for den kontoen. Verktøyet viser deretter standard påloggingsprompt. |
| 7 |
Når du blir bedt om det, angir du påloggingsinformasjonen for Partner Hub administrator, og klikker deretter Logg på for å gi tilgang til de nødvendige tjenestene for Hybrid Data Security. |
| 8 |
Klikk Komme i gang på oversiktssiden Installasjons verktøy. |
| 9 |
Klikk Ja på ISO-import -siden. |
| 10 |
Velg ISO-filen din i nettleseren og last den opp. |
| 11 |
Gå til fanen Ten ant CMK Management, hvor du finner følgende tre måter å administrere leietaker CMK-er på.
|
| 12 |
Når CMK-tilbakekalling er vellykket, vises ikke kundeorganisasjonen lenger i tabellen. |
| 13 |
Hvis CMK-tilbakekalling mislykkes, vises en feil. |
Test distribusjonen av hybriddatasikkerhet
Før du begynner
-
Konfigurer distribusjonen for hybriddatasikkerhet for flere leietakere.
-
Forsikre deg om at du har tilgang til sysloggen for å bekrefte at nøkkelforespørsler sendes til Multi-Tenant Hybrid Data Security-distribusjonen.
| 1 |
Nøkler for et gitt rom er satt av skaperen av rommet. Logg på Webex-appen som en av brukerne av kundeorganisasjonen, og opprett deretter et område. Hvis du deaktiverer hybriddatasikkerhet-distribusjonen, er innhold i mellomrom som brukerne oppretter, ikke lenger tilgjengelig når de klientbufrede kopiene av krypteringsnøklene er erstattet. |
| 2 |
Send meldinger til det nye rommet. |
| 3 |
Kontroller syslog-utdataene for å bekrefte at nøkkelforespørslene sendes til Hybrid Data Security-distribusjonen. Hvis en bruker av en nylig lagt kundeorganisasjon utfører en handling, vises organisasjons-ID-en til organisasjonen i loggene, og dette kan brukes til å bekrefte at organisasjonen utnytter Multi-Tenant HDS. Kontroller verdien av |
Tolke HDS-logger og forstå agentetiketter
HDS-logger gir detaljert informasjon om KMS-forespørsler. Disse loggene inneholder forskjellige felt som hjelper til med å identifisere arten av forespørselen og den tilknyttede identiteten. Å forstå disse feltene er avgjørende for korrekt tolkning av aktiviteter og pålitelige interne operasjoner.
Terminologi
For å sikre klarhet når du gjennomgår HDS-logger, er det viktig å forstå følgende vilkår:
| Begrepet | Definisjon |
|---|---|
| Tjenestekonto | En tjenesteidentitet som gjør at Webex-tjenester kan utføre autoriserte handlinger på en sikker måte. |
| Agent | En tjenesteenhet eller tjenestekontoidentitet som brukes til å utføre automatiserte operasjoner i HDS-miljøet. |
| Agentetikett | En kode som er inkludert i HDS-logger som identifiserer den spesifikke kilden og typen for en innkommende forespørsel, noe som muliggjør effektiv tilgangskontrollrevisjon. |
| Delegert tilgang | En autorisert tjenestekonto som gjør en forespørsel for en bestemt bruker, innenfor brukerens tillatelser. Vises som en delegeringsforespørsel: agent -> brukerid. |
Begrepet «agent» refererer i denne sammenhengen spesifikt til HDS-tjenesteidentiteter. Disse er ikke relatert til AI-drevne agenter som brukes i andre Webex-funksjoner.
En forespørsel serveres bare når den stammer fra:
- en godkjent bruker i organisasjonen, eller
- en tjenestekonto som ligger i, og er autorisert av, organisasjonen din.
Oversikt over loggfelt
| Felt | Hva det representerer |
|---|---|
| Tidsstempel | Dato og klokkeslett for operasjonen. |
| kms.data.metode | KMS-operasjonen utført (f.eks. henting). |
| kms.data.orgld | Organisasjonsidentifikator. |
| KMS.Data.HttpUserAgent | Kunden eller tjenesten som gjør forespørselen. |
| WEBEX_TRACKINGID | Unik sporingsidentifikator for forespørselen. |
| kms.data.uriHost/kms.data.uri | Verten og ressursen målrettet av forespørselen. |
| kms.data.userld | Identiteten som utfører forespørselen, inkludert en agentetikett. |
| kms.response.suksess | Indikerer om forespørselen lyktes. |
Forespørselstyper - Hurtigreferanse
| Tagg i logg | Agentetikett | Hva det representerer | Typiske operasjoner |
|---|---|---|---|
| Brukertype: UserAgent | Brukeragent | En klarert tjenestekonto knyttet til en brukerarbeidsflyt, som er omfattet av organisasjonen din. | Opprette/administrere nøkler for en brukerprosess. |
| o-agent <id>-> bruker-id <id> | Organisasjonsagent | En klarert tjenestekonto på organisasjonsnivået som bruker delegert tilgang. | Compliance Officers utvinning av Webex-data, kalenderintegrasjoner. |
| c-agent <id>-> bruker-id <id> | Skyagent | En Webex-tjeneste som utfører en delegert forespørsel for en bestemt bruker. | Virusskanning, forhåndsvisning av innhold, transkripsjoner. |
| c-agent <id> | Skyagent | En Webex-tjeneste som utfører en delegert forespørsel. | ECDHE/øktnøkler. |
| Sluttbruker UUID | - | Den autentiserte sluttbrukeren som samhandler med HDS. | En bruker som henter sin egen nøkkel. |
Forespørselstyper - I detalj
Agentetiketter kategoriserer kilden til forespørselen og hjelper til med å bestemme passende tilgangskontroller. Følgende eksempler viser flere forespørselstyper og agentetikettene som er knyttet til dem.
-
Brukeragent (UserAgent):
Dette er klarerte Webex-tjenestekontoer knyttet til bestemte brukerarbeidsflyter og er omfattet av kundeorganisasjonen. De brukes vanligvis når en tjeneste oppretter og administrerer nøkler på vegne av en brukerarbeidsflyt.
Eksempellogg:
2026-06-18 10:58:14.405 (+0000) INFO KMS [pool-21-thread-110] - User: b[~]4 User Type: userAgent WEBEX_TRACKINGID=MsftPresence_6[~]9, kms.data.method=create, kms.merc.id=5[~]8, kms.merc.sync=false, kms.data.uriHost=null, kms.data.type=RESOURCE_COLLECTION, kms.data.requestId=b[~]4, kms.data.orgId=null, kms.data.uri=/resources, kms.data.userId=3[~]6, kms.data.httpUserAgent=<Webex service>Nøkkelindikator: Eksempelloggen viser en brukeragent (
UserAgent) somutfører ressursinnsamlingsoperasjoner for en Webex-tjeneste. -
Organisasjonsagent (o-agent):
Disse klarerte Webex-tjenestekontoene er autorisert til å utføre delegerte operasjoner på vegne av brukere i HDS. Tilpasset kundeorganisasjonen utfører disse kontoene operasjoner på organisasjonsnivå. Denne funksjonaliteten støtter flere funksjoner, for eksempel å gjøre det mulig for samsvarsansvarlige å søke og trekke ut Webex-kommunikasjonsdata - noe som sikrer organisatorisk tilpasning til regulerings-, sikkerhets- og personvernstandarder.
Eksempellogg:
2026-06-18 11:24:53.034 (+0000) INFO KMS [pool-19-thread-118] - WEBEX_TRACKINGID=ccc_8[~]c, kms.data.method=retrieve, kms.merc.id=2[~]a, kms.merc.sync=false, kms.data.uriHost=hds2.org5.portun.us, kms.data.type=KEY, kms.data.requestId=1[~]2, kms.data.orgId=null, kms.data.uri=kms://hds2.org5.portun.us/keys/d[~]7, kms.data.userId=o-agent 9[~]c -> userid 4[~]b, kms.data.httpUserAgent=<Webex service>Nøkkelindikator: Eksempelloggen viser en orgagent (
o-agent 9 [~] c) som henter en nøkkel på vegne av brukeren (4 [~] b) for en Webex-tjeneste. - Skyagent (c-agent):
Disse klarerte Webex-tjenestekontoene er autorisert til å utføre operasjoner på HDS via delegert tilgang på vegne av en bruker. De støtter viktige funksjoner - for eksempel opptak etter møtet, transkripsjoner, skanning mot skadelig programvare og forhåndsvisning av filer som forbedrer den generelle brukeropplevelsen.
Mens Cloud Agents kan deaktiveres ved å endre ISO, bør kundene være klar over at dette vil resultere i tap av funksjoner, for eksempel opptak etter møtet, transkripsjoner, forhåndsvisninger av filer og automatisert skanning mot skadelig programvare i Webex App Spaces. Hvis du vil ha mer informasjon, kan du se Deaktiver Cloud Agents -delen.
Eksempellogg:
2026-06-18 11:27:59.388 (+0000) INFO KMS [pool-19-thread-56] - WEBEX_TRACKINGID=CLIENT_2[~]e, kms.data.method=retrieve, kms.merc.id=b[~]c, kms.merc.sync=false, kms.data.uriHost=hds2.org5.portun.us, kms.data.type=KEY, kms.data.requestId=0[~]6, kms.data.orgId=null, kms.data.uri=kms://hds2.org5.portun.us/keys/e[~]e, kms.data.userId=c-agent b[~]c -> userid 9[~]c, kms.data.httpUserAgent=<Webex service>Nøkkelindikator: Eksempelloggen viser en skyagent (
c-agent b [~] c) somhenter en innholdsnøkkel på vegne av brukeren (9 [~] c). -
Sluttbrukerens direkte interaksjon:
En autentisert bruker som samhandler direkte med HDS.
Eksempellogg:
2026-06-18 11:29:39.858 (+0000) INFO KMS [pool-19-thread-141] - kms.data.method=retrieve, kms.merc.id=a[~]d, kms.merc.sync=false, kms.data.orgId=null, kms.data.httpUserAgent=<Webex service>, WEBEX_TRACKINGID=CLIENT_7[~]e, kms.data.uriHost=hds2.org5.portun.us, kms.data.type=KEY, kms.data.requestId=1[~]a, kms.response.destination=https://wdm-a.wbx2.com/wdm/api/v1/devices/1[~]e, kms.response.resourceuri=null, kms.data.uri=kms://hds2.org5.portun.us/keys/b[~]b, kms.data.userId=c[~]f, kms.response.success=trueNøkkelindikator: Eksempelloggen viser en sluttbruker (
c [~] f) somhenter en nøkkel og samhandler direkte med HDS.
Overvåk tilstanden til hybriddatasikkerhet
| 1 |
I Partner Hub velger du T jenester fra menyen til venstre på skjermen. |
| 2 |
I Hybrid-delen finner du Hybrid Data Security og klikker på Rediger innstillinger. Siden Innstillinger for hybriddatasikkerhet vises.
|
| 3 |
I delen E-postvarsler skriver du inn en eller flere e-postadresser atskilt med komma, og trykker på Enter. |
Administrer HDS-distribusjon
Bruk oppgavene som er beskrevet her for å administrere distribusjonen av hybriddatasikkerhet.
Angi klyngeoppgraderingsplan
Slik angir du oppgraderingsplanen:
| 1 |
Logg på Partner Hub. |
| 2 |
Velg Tjenester fra menyen til venstre på skjermen. |
| 3 |
I Hybrid-delen finner du Hybrid Data Security og klikker på Konfigurer |
| 4 |
Velg klyngen på siden Hybrid Data Security Resources. |
| 5 |
Klikk på kategorien Kly ngeinnstillinger. |
| 6 |
Velg tid og tidssone for oppgraderingsplanen under Oppgraderingsplan på siden Klyngeinnstillinger. Merk: Under tidssonen vises neste tilgjengelige oppgraderingsdato og -klokkeslett. Du kan utsette oppgraderingen til neste dag, om nødvendig, ved å klikke Utsett med 24 timer. |
Endre nodekonfigurasjonen
-
Endring av x.509-sertifikater på grunn av utløp eller andre grunner.
Vi støtter ikke endring av CN-domenenavnet til et sertifikat. Domenet må samsvare med det opprinnelige domenet som ble brukt til å registrere klyngen.
-
Oppdaterer databaseinnstillinger for å endre til en kopi av PostgreSQL- eller Microsoft SQL Server-databasen.
Vi støtter ikke migrering av data fra PostgreSQL til Microsoft SQL Server, eller motsatt vei. Hvis du vil bytte databasemiljø, starter du en ny distribusjon av Hybrid Data Security.
-
Opprette en ny konfigurasjon for å forberede et nytt datasenter.
Av sikkerhetshensyn bruker Hybrid Data Security også tjenestekontopassord som har en levetid på ni måneder. Etter at HDS-install asjonsverktøyet genererer disse passordene, distribuerer du dem til hver av HDS-nodene dine i ISO-konfigur asjonsfilen. Når organisasjonens passord nærmer seg utløpet, mottar du et varsel fra Webex-teamet om å tilbakestille passordet for maskinkontoen din. (E-posten inneholder teksten «Bruk maskinkontoens API til å oppdatere passordet.») Hvis passordene dine ikke har utløpt ennå, gir verktøyet deg to alternativer:
-
Myk tilbakes tilling — Både gamle og nye passord fungerer i opptil 10 dager. Bruk denne perioden til å erstatte ISO-filen på nodene gradvis.
-
Hard reset - De gamle passordene slutter å fungere umiddelbart.
Hvis passordene dine utløper uten tilbakestilling, påvirker det HDS-tjenesten din, og krever en øyeblikkelig hard tilbakestilling og utskifting av ISO-filen på alle noder.
Bruk denne prosedyren til å generere en ny konfigurasjons-ISO-fil og bruke den på klyngen din.
Før du begynner
-
HDS-installasjonsverktøyet kjører som en Docker-beholder på en lokal maskin. For å få tilgang til den, kjør Docker på den maskinen. Installasjonsprosessen krever legitimasjonen til en Partner Hub-konto med partnerens fulle administratorrettigheter.
Hvis du ikke har en Docker Desktop-lisens, kan du bruke Podman Desktop til å kjøre HDS-installasjonsverktøyet for trinn 1.a til 1.e i fremgangsmåten nedenfor. Se Kj ør HDS-installasjonsverktøy ved hjelp av Podman Desktop for detaljer.
Hvis HDS-installasjonsverktøyet kjører bak en proxy i miljøet ditt, må du oppgi proxy-innstillingene (server, port, legitimasjon) gjennom Docker-miljø variabler når du tar opp Docker-beholderen i 1.e. Denne tabellen gir noen mulige miljøvariabler:
Beskrivelse
Variabel
HTTP Proxy uten godkjenning
GLOBAL_AGENT_HTTP_PROXY = http://SERVER_IP:PORTHTTPS Proxy uten godkjenning
GLOBAL_AGENT_HTTPS_PROXY= http://SERVER_IP:PORTHTTP Proxy med autentisering
GLOBAL_AGENT_HTTP_PROXY = http://USERNAME:PASSWORD@SERVER_IP:PORTHTTPS Proxy med autentisering
GLOBAL_AGENT_HTTPS_PROXY= http://USERNAME:PASSWORD@SERVER_IP:PORT -
Du trenger en kopi av den gjeldende konfigurasjons-ISO-filen for å generere en ny konfigurasjon. ISO inneholder hovednøkkelen som krypterer PostgreSQL- eller Microsoft SQL Server-databasen. Du trenger ISO når du gjør konfigurasjonsendringer, inkludert databaselegitimasjon, sertifikatoppdateringer eller endringer i autorisasjonspolicyen.
| 1 |
Bruk Docker på en lokal maskin, kjør HDS Setup Tool. |
| 2 |
Hvis du bare har én HDS-node som kjører, oppretter du en ny VM med hybriddatasikkerhetsnode og registrerer den ved hjelp av den nye konfigurasjons-ISO-filen. Hvis du vil ha mer detaljerte instruksjoner, kan du se Opprette og registrere flere noder. |
| 3 |
For eksisterende HDS-noder som kjører den eldre konfigurasjonsfilen, monterer du ISO-filen. Utfør følgende prosedyre på hver node etter tur, oppdater hver node før du slår av neste node:
For VMware-distribusjoner:
For NFVIS- distribusjoner:
For Nutanix-distribusjoner:
|
| 4 |
Gjenta trinn 3 for å erstatte konfigurasjonen på hver gjenværende node som kjører den gamle konfigurasjonen. |
Slå av blokkert ekstern DNS-oppløsningsmodus
Når du registrerer en node eller sjekker nodens proxy-konfigurasjon, tester prosessen DNS-oppslag og tilkobling til Cisco Webex skyen. Hvis nodens DNS-server ikke kan løse offentlige DNS-navn, går noden automatisk i modus for blokkert ekstern DNS-oppløsning.
Hvis nodene dine klarer å løse offentlige DNS-navn via interne DNS-servere, kan du slå av denne modusen ved å kjøre proxy-tilkoblingstesten på nytt på hver node.
Før du begynner
| 1 |
I en nettleser åpner du nodegrensesnittet Hybrid Data Security (IP-adresse/oppsett, for eksempel https://192.0.2.0/setup), angir administratorlegitimasjonen du konfigurerte for noden, og klikker deretter på Log g på. |
| 2 |
Gå til Oversikt (standardsiden). Når den er aktivert, er Blok kert ekstern DNS-oppløsning satt til Ja. |
| 3 |
Gå til Trust Store & Proxy- siden. |
| 4 |
Klikk Kontroller proxy-tilkobling. Hvis du ser en melding om at ekstern DNS-oppløsning ikke var vellykket, kunne ikke noden nå DNS-serveren og vil forbli i denne modusen. Ellers, etter at du har startet noden på nytt og går tilbake til Over sikt-siden, bør blokkert ekstern DNS-oppløsning settes til nei. |
Hva du skal gjøre videre
Fjern en node
| 1 |
Bruk administrasjonsgrensesnittet for hypervisoren i distribusjonen til å finne og slå av den virtuelle HDS-maskinen. |
| 2 |
Fjern noden: |
| 3 |
Bruk administrasjonsgrensesnittet for hypervisoren i distribusjonen, og finn og slett den virtuelle HDS-maskinen. Hvis du ikke sletter VM, må du huske å avmontere konfigurasjons-ISO-filen. Uten ISO-filen kan du ikke bruke VM til å få tilgang til sikkerhetsdataene dine. |
Standby-datasenter for krisegjenoppretting
Under distribusjonen konfigurerer du et sikkert datasenter i ventemodus. I tilfelle et datasenterkatastrofe, kan du manuelt mislykkes med distribusjonen over til standby-datasenteret.
Databasene til de aktive datasentrene og standby-datasentrene er synkronisert med hverandre, noe som vil minimere tiden det tar å utføre failover.
De aktive Hybrid Data Security-nodene må alltid være i samme datasenter som den aktive databaseserveren.
Konfigurere datasenter i ventemodus for krisegjenoppretting
Følg trinnene nedenfor for å konfigurere ISO-filen til standby-datasenteret:
Før du begynner
-
Standby-datasenteret skal speile produksjonsmiljøet til virtuelle maskiner og en sikkerhetskopi av PostgreSQL- eller Microsoft SQL Server-database. Hvis produksjonen for eksempel har 3 virtuelle maskiner som kjører HDS-noder, bør sikkerhetskopimiljøet ha tre virtuelle maskiner. (Se Standby-datasenter for krisegjenoppretting for en oversikt over denne failover-modellen.)
-
Kontroller at databasesynkronisering er aktivert mellom databasen med aktive og passive klyngenoder.
| 1 |
Start HDS-installasjonsverktøyet og følg trinnene som er nevnt i Opprett en konfigurasjons-ISO for HDS-ver tene. ISO-filen må være en kopi av den opprinnelige ISO-filen til det primære datasenteret som følgende konfigurasjonsoppdateringer skal gjøres på. |
| 2 |
Etter å ha konfigurert Syslogd-serveren, klikker du på Avanserte innstillinger |
| 3 |
På siden Avan serte innstillinger legger du til konfigurasjonen nedenfor for å plassere noden i passiv modus. I denne modusen vil noden bli registrert i organisasjonen og koblet til skyen, men vil ikke håndtere trafikk.
|
| 4 |
Fullfør konfigurasjonsprosessen og lagre ISO-filen på et sted som er lett å finne. |
| 5 |
Lag en sikkerhetskopi av ISO-filen på ditt lokale system. Hold sikkerhetskopien sikker. Denne filen inneholder en hovedkrypteringsnøkkel for databasens innhold. Begrens tilgangen til bare de Hybrid Data Security-administratorene som skal gjøre konfigurasjonsendringer. |
| 6 |
Monter konfigurasjons-ISO-filen: Før montering av den nye konfigurasjonen ISO:
For VMware-distribusjoner: For NFVIS-distribusjoner:
For Nutanix-distribusjoner:
|
| 7 |
Slå på HDS-noden og sørg for at det ikke er noen alarmer i minst 15 minutter. |
| 8 |
Gjenta prosessen for hver node i standby-datasenteret. Kontroller syslogs for å bekrefte at nodene er i passiv modus. Du bør kunne se meldingen «KMS konfigurert i passiv modus» i syslogs. |
Hva du skal gjøre videre
Etter å ha konfigur ert PassiveMode i ISO-filen og lagret den, kan du opprette en annen kopi av ISO-filen uten Passi veMode-konfigurasjonen og lagre den på et sikkert sted. Denne kopien av ISO-filen uten PassiveMode konfigurert kan hjelpe i en rask failover-prosess under krisegjenoppretting. Se Dis aster Recovery ved hjelp av Standby-datasenter for detaljert failover-prosedyre.
Krisegjenoppretting ved hjelp av Standby-datasenter
Den mest kritiske tjenesten som Hybrid Data Security-klyngen gir, er opprettelse og lagring av nøkler som brukes til å kryptere meldinger og annet innhold som er lagret i Webex-skyen. For hver bruker i organisasjonen som er tilordnet Hybrid Data Security, sendes nye forespørsler om oppretting av nøkler til klyngen. Klyngen er også ansvarlig for å returnere nøklene som den er opprettet til brukere som er autorisert til å hente dem, for eksempel medlemmer av et samtalerom.
Fordi klyngen utfører den kritiske funksjonen for å levere disse nøklene, er det viktig at klyngen fortsetter å kjøre og at riktige sikkerhetskopier opprettholdes. Tap av Hybrid Data Security-databasen eller av konfigurasjonen ISO som brukes for skjemaet, vil resultere i UGJENOPPRETTELIG TAP av kundeinnhold. Følgende praksis er obligatorisk for å forhindre et slikt tap:
Hvis en katastrofe fører til at HDS-distribusjonen i det primære datasenteret blir utilgjengelig, følger du denne fremgangsmåten for å manuelt failover til standby-datasenteret.
Før du begynner
| 1 |
Start HDS-installasjonsverktøyet og følg trinnene som er nevnt i Opprett en konfigurasjons-ISO for HDS-ver tene. |
| 2 |
Etter å ha konfigurert Syslogd-serveren, klikker du på Avanserte innstillinger |
| 3 |
På siden Avan serte innstillinger legger du til konfigurasjonen nedenfor eller fjerner
|
| 4 |
Fullfør konfigurasjonsprosessen og lagre ISO-filen på et sted som er lett å finne. |
| 5 |
Lag en sikkerhetskopi av ISO-filen på ditt lokale system. Hold sikkerhetskopien sikker. Denne filen inneholder en hovedkrypteringsnøkkel for databasens innhold. Begrens tilgangen til bare de Hybrid Data Security-administratorene som skal gjøre konfigurasjonsendringer. |
| 6 |
Monter konfigurasjons-ISO-filen: Før montering av den nye konfigurasjonen ISO:
For VMware-distribusjoner: For NFVIS-distribusjoner:
For Nutanix-distribusjoner:
|
| 7 |
Slå på HDS-noden og sørg for at det ikke er noen alarmer i minst 15 minutter. |
| 8 |
Gjenta prosessen for hver node i standby-datasenteret. Kontroller syslog-utgangen for å bekrefte at nodene til standby-datasenteret ikke er i passiv modus. «KMS konfigurert i passiv modus» skal ikke vises i syslogs. |
Hva du skal gjøre videre
(Valgfritt) Avmonter ISO etter HDS-konfigurasjon
Standard HDS-konfigurasjon kjører med ISO montert. Men noen kunder foretrekker ikke å forlate ISO-filer kontinuerlig montert. Du kan avmontere ISO-filen etter at alle HDS-noder plukker opp den nye konfigurasjonen.
Du bruker fortsatt ISO-filene til å gjøre konfigurasjonsendringer. Når du oppretter en ny ISO eller oppdaterer en ISO gjennom Setup Tool, må du montere den oppdaterte ISO-en på alle HDS-nodene. Når alle nodene dine har plukket opp konfigurasjonsendringene, kan du avmontere ISO igjen med denne prosedyren.
Før du begynner
Oppgrader alle HDS-noder til versjon 2025.06.02.6983 eller nyere.
|
Fjern konfigurasjons-ISO-filen.
For VMware-distribusjoner:
For NFVIS-distribusjoner:
For Nutanix-distribusjoner:
|
Vis varsler og feilsøking
En hybrid datasikkerhet-distribusjon anses som utilgjengelig hvis alle noder i klyngen ikke er tilgjengelige, eller klyngen fungerer så sakte at det blir bedt om tidsavbrudd. Hvis brukerne ikke kan nå Hybrid Data Security-klyngen, opplever de følgende symptomer:
-
Nye mellomrom kan ikke opprettes (kan ikke opprette nye nøkler)
-
Meldinger og mellomromstitler mislykkes i å dekryptere for:
-
Nye brukere lagt til et mellomrom (kan ikke hente nøkler)
-
Eksisterende brukere i et område som bruker en ny klient (kan ikke hente nøkler)
-
-
Eksisterende brukere i et område vil fortsette å kjøre vellykket så lenge klientene deres har en cache med krypteringsnøklene
Det er viktig at du overvåker Hybrid Data Security-klyngen riktig og adresserer eventuelle varsler omgående for å unngå forstyrrelser i tjenesten.
Varsler
Hvis det er et problem med oppsettet for hybriddatasikkerhet, viser Partner Hub varsler til organisasjonsadministratoren og sender e-post til den konfigurerte e-postadressen. Varslene dekker mange vanlige scenarier.
|
Varsling |
Handling |
|---|---|
|
Lokal databasetilgangsfeil. |
Se etter databasefeil eller problemer med lokalt nettverk. |
|
Lokal databasetilkoblingsfeil. |
Kontroller at databaseserveren er tilgjengelig, og at riktig tjenestekontolegitimasjon ble brukt i nodekonfigurasjonen. |
|
Tilgangsfeil for skytjeneste. |
Kontroller at nodene har tilgang til Webex-serverne som angitt i Eksterne tilkoblingskrav. |
|
Fornyer registrering av skytjeneste. |
Registreringen til skytjenester ble droppet. Fornyelse av registrering pågår. |
|
Skytjenesteregistreringen falt. |
Registrering til skytjenester avsluttet. Tjenesten stenger. |
|
Tjenesten er ikke aktivert ennå. |
Aktiver HDS i Partner Hub. |
|
Konfigurert domene samsvarer ikke med serversertifikatet. |
Kontroller at serversertifikatet samsvarer med det konfigurerte tjenesteaktiveringsdomenet. Den mest sannsynlige årsaken er at sertifikatet CN nylig ble endret og nå er forskjellig fra CN som ble brukt under det første oppsettet. |
|
Kunne ikke autentisere til skytjenester. |
Se etter nøyaktighet og mulig utløp av tjenestekontolegitimasjon. |
|
Kunne ikke åpne den lokale nøkkellagringsfilen. |
Se etter integritet og passordnøyaktighet på lokal nøkkellagringsfil. |
|
Lokalt serversertifikat er ugyldig. |
Kontroller utløpsdatoen for serversertifikatet og bekreft at det ble utstedt av en klarertCertificate Authority. |
|
Kan ikke legge ut beregninger. |
Sjekk lokal nettverkstilgang til eksterne skytjenester. |
|
/media/configdrive/hds-katalogen eksisterer ikke. |
Kontroller ISO-monteringskonfigurasjonen på virtuell vert. Kontroller at ISO-filen eksisterer, at den er konfigurert til å montere ved omstart, og at den monteres vellykket. |
|
Oppsett av leietakerorganisasjon er ikke fullført for organisasjonene som er lagt til |
Fullfør oppsettet ved å opprette CMK-er for nylig tilføyde leietakerorganisasjoner ved hjelp av HDS Setup Tool. |
|
Oppsett av leietakerorganisasjon er ikke fullført for de fjernede organisasjonene |
Fullfør oppsettet ved å tilbakekalle CMK-er for leietakerorganisasjoner som ble fjernet ved hjelp av HDS Setup Tool. |
Feilsøk hybriddatasikkerhet
| 1 |
Logg på Partner Hub. |
| 2 |
Velg Tjenester fra menyen til venstre på skjermen. |
| 3 |
I Hybrid-delen finner du Hybrid Data Security og klikker på Hen delser. |
| 4 |
Gå gjennom hendelseshistorikksiden for eventuelle varsler, og reparer eventuelle elementer du finner der. Se bildet nedenfor for referanse. |
| 5 |
Se gjennom syslog-serverens utdata for aktivitet fra Hybrid Data Security-distribusjonen. Filtrer etter ord som «Advarsel» og «Feil» for å hjelpe deg med feilsøking. |
| 6 |
Kontakt Ciscos kundestø tte. |
HDS-utvikler-API-er
HDS Developer API-er er en måte å hente analyse- og overvåkingsdata på, samt feilsøke HDS-distribusjonene dine gjennom Webex Developer Portal. API-ene er tilgjengelige på https://developer.webex.com/messaging/docs/api/v1/hds.
Kjente problemer for hybrid datasikkerhet
-
Hvis du slår av alle aktive klynger for Hybrid Data Security (ved å slette dem i Partner Hub eller ved å slå av alle noder), mister konfigurasjons-ISO-filen eller mister tilgangen til nøkkellagringsdatabasen, kan Webex App-brukere av kundeorganisasjoner ikke lenger bruke mellomrom under personlisten som ble opprettet med nøkler fra KMS. Vi har for øyeblikket ingen løsning eller løsning for dette problemet, og oppfordrer deg til ikke å stenge HDS-tjenestene dine når de håndterer aktive brukerkontoer.
-
En klient som har en eksisterende ECDH-forbindelse til en KMS opprettholder denne forbindelsen i en tidsperiode (sannsynligvis en time).
Distribuere og konfigurere HDS på NFVIS
Følg prosedyrene nedenfor for å distribuere HDS på en NFVIS-hypervisor. Prosessen inkluderer å installere HDS OVA, sette opp VM, montere konfigurasjons-ISO og verifisere distribusjonen.
Installere HDS Host OVA på NFVIS
Før du begynner
- Fullfør forutsetningene for hybriddatasikkerhet og last ned den nyeste HDS OVA.
Gi nytt navn til filen ved å bruke formatet hd<DD-MMM-YYYY>s-.ova for sporing; for eksempel hds-26-aug-2026.ova. - Opprett HDS-konfigurasjonen ISO og lagre den sikkert. ISO inneholder hovedkrypteringsnøkkelen.
- Samle nodens statiske IP-adresse, delnettmaske, gateway, DNS-server, NTP-server og NFVIS-nettverksnavn.
- Bekreft at du har NFVIS-administratortilgang og tilstrekkelig kapasitet til å tildele minst 4 vCPUer, 8 GB minne og 30 GB lagringsplass per HDS-node.
| 1 |
Logg på NFVIS-grensesnittet og naviger til Konfigurasjon > Virtuell maskin > Bilder > Bil delager. |
| 2 |
Velg LOC AL-alternativet og last opp den omdøpte HDS OVA-filen (for eksempel hds-26-aug-2026.ova). |
| 3 |
Angi VM-arbeidsbelastningstypen til Anrop og VM-typen til ECP/VIDEO MESH, og velg deretter Last opp fil. |
| 4 |
Overvåk opplastingsfremdriften til ferdigstillelse. |
| 5 |
Bekreft at den opplastede OVA er merket som aktiv, og at NFVIS har opprettet den tilknyttede egendefinerte OVA-profilen. |
Konfigurere virtuell hybriddatasikkerhet på NFVIS
| 1 |
Naviger til Konfigurasjon > Distribu er og velg ECP/VIDEO MESH fra Velg VM-menyen. |
| 2 |
Skriv inn et unikt VM-navn, velg det tidligere opplastede HDS-bildet, og velg den tilsvarende egendefinerte OVA-profilen i delen Deployment Details. |
| 3 |
Velg DE PLO Y og vent på vellykket distribusjonsvarsling. |
| 4 |
Naviger til Konfigurasjon > Virtuell maskin > Administrer for å bekrefte at den nye HDS VM er aktiv. |
| 5 |
Gå tilbake til Konfigurasjon > Distribu er, velg HDS VM, og bruk rullegardinlisten Nettverksgrensesnitt til å koble den til ønsket WAN-nettverk. |
| 6 |
Velg DE PLO Y for å bruke nettverkskonfigurasjonsendringene. |
Last opp og monter HDS-konfigurasjons-ISO
| 1 |
Kontroller at ISO-filen for HDS-konfigurasjonen lastes opp til bildelageret via Konfigurasjon > Virtuell maskin > Bilder > Image Repository før du fortsetter. |
| 2 |
Åpne terminalen for HDS VM via Konfigurasjon > Virtuell maskin > Administrer og utfør den første påloggingen ved hjelp av standardopplysningene. Brukernavn: admin
Passord: ciscosystems
|
| 3 |
Endre administratorlegitimasjonen når du blir bedt om det. |
| 4 |
Konfigurer nodens statiske IP-adresse, delnettmaske, gateway, DNS og NTP-innstillinger ved å bruke alternativet Rediger konfigurasjon. |
| 5 |
Slå av HDS VM for å lette monteringsprosessen. |
| 6 |
Åpne VM-handlingsmenyen, velg CD-ROM, og velg HDS-konfigurasjons-ISO for å koble den til VM. |
| 7 |
Slå på VM og kontroller at den starter vellykket med konfigurasjonen ISO montert. |
Hva du skal gjøre videre
Hvis nødvendig, fortsett med Konfigurer noden for proxy-integrering og fortsett deretter til Registrer den første noden i klyng en.
Distribuere og konfigurere HDS på Nutanix
Følg prosedyrene nedenfor for å distribuere HDS på en Nutanix hypervisor. Prosessen inkluderer å installere HDS OVA, sette opp VM, montere konfigurasjons-ISO og verifisere distribusjonen.
Installer HDS Host OVA på Nutanix
Bruk denne fremgangsmåten til å importere HDS OVA-filen til Nutanix.
| 1 |
Last ned den nyeste HDS OVA. |
| 2 |
Gå til Infrastruktur > Beregning > OVA i Prism Central. |
| 3 |
Velg Last opp OVA. |
| 4 |
Velg OVA-kilden og velg målklyngen. |
| 5 |
Gi den opplastede OVA et unikt og gjenkjennelig navn. Inkluder versjonen eller opplastingsdatoen slik at administratorer kan skille den fra eldre OVA-versjoner. |
| 6 |
Fullfør opplastingen. |
| 7 |
Kontroller at Diskformat vises som VMD K i OVA-listen. |
Opprett den hybride datasikkerhets-VM på Nutanix
Bruk denne fremgangsmåten til å opprette den virtuelle HDS-maskinen.
| 1 |
Gå til Infrastruktur > Beregning > OVA i Prism Central. |
| 2 |
Velg den vellykkede opplastede HDS OVA. |
| 3 |
Velg Distribuer som VM. |
| 4 |
Skriv inn et unikt, gjenkjennelig VM-navn og velg målklyngen. |
| 5 |
Kontroller at OVA har fylt ut følgende VM-egenskaper:
|
| 6 |
Klikk på Neste. Ress urs veiviseren åpnes. |
| 7 |
Kontroller at den tilkoblede disken har en størrelse på 30 GB i tabellen Ressurser > Disker. |
| 8 |
Koble til riktig delnett eller VLAN ved å bruke alternativet Legg til delnett, og angi nettverkstilkoblingstilstanden til Tilkoblet. Hvis veiviseren inneholder en tom eller standard nettverksoppføring som viser Ingen nettverk funnet for VM-nettverk, fjerner du oppføringen. Den ugyldige oppføringen kan forhindre at veiviseren fortsetter selv etter at riktig delnett er koblet til. |
| 9 |
Velg UEFI som BIOS-modus og klikk Neste. Administrasjonsveiviseren åpnes. |
| 10 |
La Kategorier være tomme med mindre kategorier er påkrevd av organisasjonen. |
| 11 |
Velg riktig tidssone. |
| 12 |
Velg Ingen tilpasning på Gjestetilpasningskor tet, og klikk Neste. |
| 13 |
Gå gjennom innstillingene og velg Opprett VM. |
Last opp og monter HDS-konfigurasjons-ISO
| 1 |
I Prism Central går du til Infrastruktur > Beregning > VMer. |
| 2 |
Velg den distribuerte HDS VM. Velg Strømoper asjoner > Slå på i kategorien Sammendrag. Vent noen minutter til VM starter opp. |
| 3 |
Klikk Start konsoll. Utfør den første påloggingen ved hjelp av standardopplysningene. Brukernavn: admin
Passord: ciscosystems
|
| 4 |
Endre administratorlegitimasjonen når du blir bedt om det. |
| 5 |
Konfigurer nodens statiske IP-adresse, delnettmaske, gateway, DNS og NTP-innstillinger ved å bruke alternativet Rediger konfigurasjon. |
| 6 |
Slå av HDS VM før du kobler til ISO. Gå til Infrastruktur > Beregning > VMer og velg gjeldende HDS VM. I kategorien Sammendrag velger du Str ømoperasjoner > Slå av og venter til den virtuelle maskinen er helt stoppet. |
| 7 |
Åpne fanen Disker til VM. |
| 8 |
Hvis en gammel konfigurasjons-ISO er vedlagt, velger du bare CD-ROM-oppføringen og klikker Slett. I kategorien Disker, hvis Kilde-feltet er tomt for virtuelle diskoppføringer, merker du de tilsvarende avmerkingsboksene og klikker på Slett. |
| 9 |
Velg Legg ved disk og konfigurer følgende verdier:
|
| 10 |
Lagre konfigurasjonen og bekreft at den nye ISO-en vises som VM-ens vedlagte CD-ROM. |
| 11 |
I kategorien Sammendrag på VM velger du Str ømoperasjoner > Slå på og kontrollerer at det ikke er noen alarmer i minst 15 minutter. |
Hva du skal gjøre videre
Hvis nødvendig, fortsett med Konfigurer noden for proxy-integrering og fortsett deretter til Registrer den første noden i klyng en.
Migrere HDS-noder mellom støttede hypervisorer
Bruk denne fremgangsmåten til å flytte HDS-noder fra én støttet hypervisor til en annen. Eksisterende virtuelle HDS-maskiner migreres ikke direkte mellom hypervisorer. I stedet distribuerer du erstatningsnoder på målhypervisoren og registrerer dem med den eksisterende eller nye HDS-klyngen.
Før du begynner
- Sikkerhetskopier HDS-databasen og gjeldende konfigurasjon ISO.
- Bekreft at målhypervisoren og de virtuelle vertene oppfyller HDS-distribusjonskravene.
- Kontroller at den eksisterende HDS-klyngen er i orden, og at de gjenværende nodene kan fortsette å håndtere trafikk mens du erstatter en node.
- Bestem om hver erstatningsnode skal gjenbruke kildenodens IP-adresse og FQDN eller bruke nye nettverksinnstillinger.
- Bruk gjeldende konfigurasjons-ISO og den eksisterende HDS-databasen for erstatningsnodene.
Hvis flyttingen også endrer det aktive datasenteret, databaseserveren eller HDS-konfigurasjonen, kan du se En dre nodekonfigurasjon og standby-datasenter for krisegjenoppretting før du fortsetter.
| 1 |
Velg én HDS-node på kildehypervisoren som skal erstattes. La alle andre noder kjøre og registreres. |
| 2 |
Forbered nettverkskonfigurasjonen for erstatningsnoden:
Ikke kjør kilde- og erstatningsnodene samtidig hvis de bruker samme nettverkskonfigurasjon. |
| 3 |
Opprett og konfigurer erstatnings-VM på målhypervisoren. Bruk den nyeste HDS OVA og følg gjeldende distribusjonsprosedyrer for den hypervisoren. |
| 4 |
Konfigurer den erstattende VM-ens nettverksinnstillinger i henhold til konfigurasjonen som er valgt i trinn 2. Følg installasjonsinstruksjonene for målhypervisoren. |
| 5 |
Fest gjeldende HDS-konfigurasjon ISO. Hvis distribusjonen bruker en proxy, konfigurerer du proxy- og klareringslageret som beskrevet i Konfigurer HDS-noden for proxy-integrering. |
| 6 |
Registrer erstatningsnoden med den eksisterende klyngen eller en ny klynge. Se Opprette og registrere flere noder. |
| 7 |
Bekreft at erstatningsnoden er sunn, koblet til Webex-skyen og håndterer HDS-trafikk. Løs eventuelle alarmer før du fortsetter. |
| 8 |
Hvis kildenoden fortsatt kjører fordi erstatningen bruker en ny nettverkskonfigurasjon, slår du av og avregistrerer kildenoden. Se Fjern en node. |
| 9 |
Gjenta disse trinnene for hver gjenværende node på kildehypervisoren. Ikke erstatt en annen node før klyngen er sunn. |
| 10 |
Etter at alle erstatningsnoder er stabile og tilbakestilling ikke lenger er nødvendig, sletter du de originale virtuelle maskinene fra kildehypervisoren. Hvis du beholder en original virtuell maskin midlertidig, må du holde den slått av og koble fra konfigurasjons-ISO-en. |
Hva du skal gjøre videre
Etter at du har registrert erstatningsnodene, må du bekrefte at de er sunne og at HDS-distribusjonen håndterer trafikk. Hvis distribusjonen er i orden, fjerner du eventuelle kildenoder som fortsatt er registrert på den opprinnelige hypervisoren. Hvis det er aktuelt, følger du trinnene ovenfor for å erstatte noder i oppsettet for krisegjenoppretting.
Kjør HDS-installasjonsverktøyet ved hjelp av Podman Desktop
Podman er et gratis og åpen kildekode-containeradministrasjonsverktøy som gir en måte å kjøre, administrere og lage containere på. Podman Desktop kan lastes ned fra https://podman-desktop.io/downloads.
-
HDS-installasjonsverktøyet kjører som en Docker-beholder på en lokal maskin. For å få tilgang til den, last ned og kjør Podman på den maskinen. Installasjonsprosessen krever legitim asjon for en Control Hub-konto med fullstendige administratorrettigheter for organisasjonen.
Hvis HDS-installasjonsverktøyet kjører bak en proxy i miljøet ditt, må du oppgi proxy-innstillingene (server, port, legitimasjon) gjennom Docker-miljøvariabler når du tar opp Docker-beholderen i trinn 5. Denne tabellen gir noen mulige miljøvariabler:
Beskrivelse
Variabel
HTTP Proxy uten godkjenning
GLOBAL_AGENT_HTTP_PROXY = http://SERVER_IP:PORTHTTPS Proxy uten godkjenning
GLOBAL_AGENT_HTTPS_PROXY= http://SERVER_IP:PORTHTTP Proxy med autentisering
GLOBAL_AGENT_HTTP_PROXY = http://USERNAME:PASSWORD@SERVER_IP:PORTHTTPS Proxy med autentisering
GLOBAL_AGENT_HTTPS_PROXY= http://USERNAME:PASSWORD@SERVER_IP:PORT -
Konfigurasjons-ISO-filen du genererer inneholder hovednøkkelen som krypterer PostgreSQL- eller Microsoft SQL Server-databasen. Du trenger den siste kopien av denne filen når du gjør konfigurasjonsendringer, som disse:
-
Databaselegitimasjon
-
Sertifikatoppdateringer
-
Endringer i autorisasjonspolitikken
-
-
Hvis du planlegger å kryptere databasetilkoblinger, konfigurerer du PostgreSQL- eller SQL Server-distribusjonen for TLS.
Installasjonsprosessen for hybriddatasikkerhet oppretter en ISO-fil. Deretter bruker du ISO til å konfigurere Hybrid Data Security-verten.
| 1 |
Skriv inn riktig kommando for miljøet på maskinens kommandolinje: I vanlige miljøer: I FedRAMP-miljøer: Dette trinnet rydder opp tidligere HDS-oppsettverktøybilder. Hvis det ikke er noen tidligere bilder, returnerer det en feil som du kan ignorere. |
| 2 |
Hvis du vil logge på Docker-bilderegisteret, skriver du inn følgende: |
| 3 |
Ved passordledeteksten skriver du inn denne hashkoden: |
| 4 |
Last ned det nyeste stabile bildet for miljøet ditt: I vanlige miljøer: I FedRAMP-miljøer: |
| 5 |
Når trekket er fullført, skriver du inn riktig kommando for miljøet ditt:
Når containeren kjører, ser du «Ekspresserverlytting på port 8080.» Installasjonsverktøyet støtter ikke tilkobling til localhost via http://localhost:8080. Bruk http://127.0.0.1:8080 for å koble til localhost. |
Hva du skal gjøre videre
Deaktiver Cloud Agents
Cloud Agents (c-agent) er klarerte Webex-tjenestekontoer som utfører operasjoner på HDS via delegert tilgang på vegne av en bruker for å forbedre den generelle brukeropplevelsen. Deaktivering av Cloud Agents blokkerer Webex-tjenester fra å få tilgang til lokale HDS-nøkler.
Deaktivering av skyagenter vil resultere i tap av funksjoner som opptak etter møtet, transkripsjoner, forhåndsvisninger av filer og automatisert skanning mot skadelig programvare i Webex App Spaces.
Følg trinnene nedenfor for å deaktivere skyagenter for HDS-distribusjonen.
| 1 |
Start HDS-installasjonsverktøyet og følg trinnene som er nevnt i Opprett en konfigurasjons-ISO for HDS-ver tene. ISO-filen må være en kopi av den opprinnelige ISO-filen til det primære datasenteret som følgende konfigurasjonsoppdateringer skal gjøres på. |
| 2 |
Etter å ha konfigurert Syslogd-serveren, klikker du på Avanserte innstillinger. |
| 3 |
På siden Avan serte innstillinger legger du til konfigurasjonen nedenfor for å deaktivere skyagenter. Dette vil sikre at skyagenter ikke har lov til å håndtere HDS-trafikk.
|
| 4 |
Fullfør konfigurasjonsprosessen og lagre ISO-filen på et sted som er lett å finne. |
| 5 |
Lag en sikkerhetskopi av ISO-filen på ditt lokale system. Hold sikkerhetskopien sikker. Denne filen inneholder en hovedkrypteringsnøkkel for databasens innhold. Begrens tilgangen til bare de Hybrid Data Security-administratorene som skal gjøre konfigurasjonsendringer. |
| 6 |
Monter konfigurasjons-ISO-filen: Før montering av den nye konfigurasjonen ISO:
For VMware-distribusjoner: For NFVIS-distribusjoner:
For Nutanix-distribusjoner:
|
| 7 |
Slå på HDS-noden og sørg for at det ikke er noen alarmer i minst 15 minutter. |
| 8 |
Gjenta prosessen for hver node i HDS-distribusjonen. Kontroller at Cloud Agents er deaktivert ved å sjekke syslogs for følgende oppføring: «Cloud Agent-oppdatering deaktivert». |
Flytt eksisterende HDS-distribusjon for én leietaker av en partnerorganisasjon i Control Hub til et HDS-oppsett for flere leietakere i Partner Hub
Konverteringen fra en eksisterende HDS-distribusjon med én leietaker av en partnerorganisasjon administrert i Control Hub til en HDS-distribusjon for flere leietakere administrert i Partner Hub innebærer først og fremst å deaktivere HDS-tjenesten i Control Hub, avregistrere noder og slette klyngen. Deretter kan du logge på Partner Hub, registrere nodene, aktivere Multi-Tenant HDS og legge til kunder i klyngen din.
Begrepet «enkeltleietaker» refererer ganske enkelt til en eksisterende HDS-distribusjon i Control Hub.
Deaktiver HDS, avregistrer noder og slett alle klynger i Control Hub
| 1 |
Logg inn på Control Hub. Klikk Hybrid i venstre rute. Klikk på Rediger innstillinger på Hybrid Data Security-kortet. |
| 2 |
På innstillingssiden ruller du ned til delen Deaktiver og klikker på Deaktiver. |
| 3 |
Etter deaktivering klikker du på kategorien Ress ur ser. |
| 4 |
R essur ser-siden viser klynger i HDS-distribusjonen. Klikk på en klynge, en side åpnes med alle noder under den klyngen. |
| 5 |
Klikk |
| 6 |
Hvis distribusjonen har flere klynger, gjentar du trinn 4 og trinn 5 til alle noder er avregistrert. |
| 7 |
Klikk K lyngeinnstillinger > Fjern. |
| 8 |
Klikk Bekreft fjerning for å avregistrere klyngen. |
| 9 |
Gjenta prosessen for alle klynger i HDS-distribusjonen. Etter HDS-deaktivering, avregistrering av noder og fjerning av klynger vises nederst på Hybrid Data Service-kortet på Control Hub. |
Aktiver Multi-Tenant HDS for partnerorganisasjonen på Partner Hub og legg til kunder
Før du begynner
Alle forutsetningene nevnt i K rav til hybriddatasikkerhet med flere leietakere gjelder her. I tillegg må du sørge for at den samme databasen og sertifikatene brukes under flyttingen til Multi-Tenant HDS.
| 1 |
Logg inn på Partner Hub. Klikk Tjenester i venstre rute. Bruk samme ISO fra forrige HDS-distribusjon for å konfigurere nodene. Dette vil sikre at meldinger og innhold generert av brukerne i den forrige eksisterende HDS-distribusjonen fremdeles er tilgjengelig i det nye Multi-Tenant-oppsettet. |
| 2 |
I Hybrid-delen finner du Hybrid Data Security-kort og klikker på Konfigurer. |
| 3 |
Klikk Legg til en ressurs på siden som åpnes. |
| 4 |
I det første feltet i Oppre tt et klyng ekort skriver du inn et navn på klyngen du vil tilordne Hybrid Data Security-noden til. Vi anbefaler at du navngir en klynge basert på hvor nodene i klyngen befinner seg geografisk. Eksempler: «San Francisco» eller «New York» eller «Dallas» |
| 5 |
I det andre feltet skriver du inn den interne IP-adressen eller fullt kvalifisert domenenavn (FQDN) til noden din og klikker Legg til nederst på skjermen. Denne IP-adressen eller FQDN skal samsvare med IP-adressen eller vertsnavnet og domenet du brukte i Konfigurere virtuell hybriddatasikkerhet. En melding vises som indikerer at du kan registrere noden din til Webex.
|
| 6 |
Klikk på Gå til node. Etter noen øyeblikk blir du omdirigert til nodetilkoblingstestene for Webex-tjenester. Hvis alle testene er vellykkede, vises siden Tillat tilgang til hybrid datasikkerhetsnode. Der bekrefter du at du vil gi tillatelser til Webex-organisasjonen din for å få tilgang til noden din. |
| 7 |
Merk av for Tillat tilgang til din hybride datasikkerhetsnode, og klikk deretter Fortsett. Kontoen din er validert, og meldingen «Registrering fullført» indikerer at noden din nå er registrert i Webex-skyen. På siden Hybrid Data Security vises den nye klyngen som inneholder noden du registrerte under kategorien Ress ur ser. Noden laster automatisk ned den nyeste programvaren fra skyen.
|
| 8 |
Gå til Inn stilling er-fanen, og klikk Akti ver på HDS-statuskortet.
Aktivert HDS- melding vises nederst på skjermen.
|
| 9 |
Klikk på fanen Tildelte kunder. |
| 10 |
Klikk på Legg til kunder. |
| 11 |
Velg kunden du vil legge til fra rullegardinmenyen. |
| 12 |
Klikk Legg til, kunden blir lagt til klyngen. |
| 13 |
Gjenta trinn 11 til 13 for å legge til flere kunder i klyngen. |
| 14 |
Klikk på Ferdig nederst på skjermen når du har lagt til kundene. |
Hva du skal gjøre videre
Bruk OpenSSL til å generere en PKCS12-fil
Før du begynner
-
OpenSSL er et verktøy som kan brukes til å lage PKCS12-filen i riktig format for lasting i HDS Setup Tool. Det er andre måter å gjøre dette på, og vi støtter ikke eller markedsfører en vei fremfor en annen.
-
Hvis du velger å bruke OpenSSL, gir vi denne prosedyren som en retningslinje for å hjelpe deg med å opprette en fil som oppfyller X.509-sertifikatkravene i X.509-sertifikatkrav. Forstå disse kravene før du fortsetter.
-
Installer OpenSSL i et støttet miljø. Se https://www.openssl.org for programvare og dokumentasjon.
-
Opprett en privat nøkkel.
-
Start denne prosedyren når du mottar serversertifikatet fra din Certificate Authority (CA).
| 1 |
Når du mottar serversertifikatet fra CA, lagrer du det som |
| 2 |
Vis sertifikatet som tekst, og bekreft detaljene.
|
| 3 |
Bruk et tekstredigeringsprogram til å opprette en sertifikatpakkefil kalt
|
| 4 |
|
| 5 |
Kontroller serversertifikatdetaljene. |
Hva du skal gjøre videre
Gå tilbake til Fullfør forutsetningene for hybrid datasikkerhet. Du vil bruke hdsnode.p12- filen,
og passordet du har angitt for den, i Opprett en konfigurasjons-ISO for HDS-vertene.
Du kan bruke disse filene på nytt for å be om et nytt sertifikat når det opprinnelige sertifikatet utløper.
Trafikk mellom HDS-nodene og skyen
Trafikk for innsamling av utgående beregninger
Hybrid Data Security-nodene sender visse beregninger til Webex-skyen. Disse inkluderer systemberegninger for haug maks, bunke brukt, CPU-belastning og trådantall; beregninger på synkrone og asynkrone tråder; beregninger for varsler som involverer en terskel for krypteringstilkoblinger, ventetid, eller en forespørselskølengde; beregninger på datalageret; og beregninger for krypteringstilkobling. Nodene sender kryptert nøkkelmateriale over en kanal utenfor båndet (atskilt fra forespørselen).
Inngående trafikk
Hybrid Data Security-nodene mottar følgende typer innkommende trafikk fra Webex-skyen:
-
Krypteringsforespørsler fra klienter, som rutes av krypteringstjenesten
-
Oppgraderinger til nodeprogramvaren
Konfigurer Squid-proxyer for hybrid datasikkerhet
Websocket kan ikke koble til via Squid Proxy
Squid-proxyer som inspiserer HTTPS-trafikk kan forstyrre etableringen av websocket (wss:) -tilkoblinger som Hybrid Data Security krever. Disse seksjonene gir veiledning om hvordan du konfigurerer forskjellige versjoner av Squid til å ignorere wss: trafikk for riktig drift av tjenestene.
Blekksprut 4 og 5
Legg til direktivet on_unsupported_protocol til squid.conf:
on_unsupported_protocol tunnel allBlekksprut 3.5.27
Vi har testet Hybrid Data Security med følgende regler lagt til squid .conf. Disse reglene kan endres når vi utvikler funksjoner og oppdaterer Webex-skyen.
acl wssMercuryConnection ssl::server_name_regex mercury-connection
ssl_bump splice wssMercuryConnection
acl step1 at_step SslBump1
acl step2 at_step SslBump2
acl step3 at_step SslBump3
ssl_bump peek step1 all
ssl_bump stare step2 all
ssl_bump bump step3 allOppgaveflyt for HDS-deaktivering av flere leietakere
Følg disse trinnene for å deaktivere Multi-Tenant HDS fullstendig.
Før du begynner
| 1 |
Fjern alle kunder fra alle klyngene dine, som nevnt i Fjern leietakerorganisasjoner. |
| 2 |
Tilbakekall CMK-ene til alle kunder, som nevnt i Tilbakekall CMK-er for leietakere fjernet fra HDS. . |
| 3 |
Fjern alle noder fra alle klyngene dine, som nevnt i Fjern en node. |
| 4 |
Slett alle klyngene dine fra Partner Hub ved å bruke en av følgende to metoder.
|
| 5 |
Klikk på Inn stilling er-fanen på oversiktssiden Hybrid Data Security og klikk Deaktiver HDS på HDS-statuskortet. |
Ofte stilte spørsmål
Q. Er CMK-ene og hovednøkkelen lagret i ISO eller databasen?
A. Kundens hovednøkler (CMK) lagres i databasen og krypteres med hovednøkkelen, som er lagret i ISO.
Spørsmål: Brukes én nøkkel til å kryptere alle data fra kundeorganisasjoner?
A. Nei. Hver kundeorganisasjons data er kryptert med sin egen CMK (Customer Main Key).
Spørsmål: Hva skjer hvis jeg deaktiverer HDS fra Partner Hub?
Svar: Noen operasjoner, som å opprette et rom og planlegge møter, vil bli påvirket umiddelbart. Eksisterende innhold i mellomrom vil være tilgjengelig til den lokale hurtigbufferen utløper. Etter 24 timer vil brukere administrert av partneren bytte til Cloud KMS, og det kan oppstå problemer med tidligere opprettede områder og en-til-en-områder.
Spørsmål: Når CMK er generert for en kundeorganisasjon gjennom HDS-oppsettverktøyet, begynner brukerne av kundeorganisasjonen umiddelbart å utnytte Multi-Tenant HDS?
Svar: Det kan være en maksimal forsinkelse på 24 timer før skybufferen oppdateres.
Spørsmål: Hvorfor ser jeg ikke en liste over kunder når jeg klikker på «Legg til kunder» -knappen i Partner Hub?
Svar: Dette betyr vanligvis at det ikke er noen kundeorganisasjoner som oppfyller Cisco Webexlisenskravene.
Spørsmål: Hva er virkningen hvis alle HDS-noder slås av, eller hvis et nettverksproblem påvirker alle HDS-noder?
A. Operasjoner som oppretting av rom og planlegging av møter påvirkes umiddelbart. Eksisterende innhold er bare tilgjengelig til den lokale hurtigbufferen utløper.
Spørsmål: Er partnerorganisasjonens brukerdata kryptert med hovednøkkelen som ble generert under opprettelsen av ISO?
A. Ja. Foreløpig er partnerorganisasjonens brukerdata kryptert med hovednøkkelen. I fremtiden vil partnerorganisasjoner ha partnerspesifikke nøkler, i likhet med kunde-CMK-er.
Spørsmål: Kan partnerorganisasjonen og leietakerorganisasjonene være i forskjellige regioner (for eksempel USA og EU)?
A. Ja. Partner- og leietakerorganisasjoner kan være lokalisert i forskjellige geografiske regioner.
Spørsmål: Er det noen mekanisme for å flytte nøkler tilbake til Cloud KMS?
Svar: Det er ingen mekanisme for å flytte nøkler tilbake til skyen etter en HDS-distribusjon.
Spørsmål: Kan en partner fortsette å bruke Cloud KMS og bruke Multi-Tenant HDS utelukkende til å administrere kunder?
Svar: Nei, dette støttes ikke for øyeblikket. Støtte for denne funksjonaliteten er planlagt for fremtiden.
Spørsmål: Hvordan kan en partner bekrefte at organisasjonen deres bruker Multi-Tenant HDS for kryptering?
A. Logg inn på Partner Hub. Gå til T jenester > Hybrid datasikkerhet > Innstillinger. Hvis HDS-status er aktivert, bruker brukere av partnerorganisasjonen så vel som tildelte kunder Multi-Tenant HDS.
Alternativt kan du sjekke syslogs for å bekrefte at HDS er aktivert. Se Test distribusjonen av hybriddatasikkerhet.
Spørsmål: Er det et alternativ til Docker Desktop for å kjøre HDS Setup-verktøyet?
A. Ja. Pod man Desktop er et åpen kildekode-alternativ til Docker Desktop. Se Kj ør HDS-installasjonsverktøy ved hjelp av Podman Desktop.
Spørsmål: Hvor mange noder kan jeg distribuere i en HDS-klynge med flere leietakere?
Svar: Vi anbefaler minimum to noder og maksimalt 1000.
Spørsmål: Hva er nettverkskravene som trengs for å konfigurere Multi-Tenant HDS?
A. Se Krav til ekstern tilkobling.
Spørsmål: Er Pro Pack for Control Hub et krav for partnerorganisasjoner?
A. Nei. Pro Pack er ikke et krav for partnerorganisasjoner. Kontakt Cisco-partneren eller kontoadministratoren din for å få hjelp til å konfigurere Multi-Tenant HDS.
Spørsmål: Støttes HSM i Multi-Tenant HDS?
Svar: Nei, for øyeblikket støtter Multi-Tenant HDS ikke HSM.
Spørsmål: Kan jeg teste Multi-Tenant HDS med et selvsignert sertifikat?
A. Nei. Multi-Tenant HDS krever et sertifikat hentet fra en klarert CA som oppfyller alle kravene nevnt i X.509- sertifikatkrav.
Spørsmål: Er det nødvendig å montere ISO hver gang en ny kunde legges til i Partner Hub?
A. Nei. ISO trenger bare å monteres når du endrer ISO-konfigurasjoner. Når du legger til en ny kunde i Partner Hub, må du sørge for at du kan opprette CMK-er ved hjelp av HDS Setup Tool. Se Opprette kundehovednøkler (CMK-er) ved hjelp av HDS-oppsettverktøyet.
Spørsmål: Etter at Multi-Tenant HDS er distribuert på Partner Hub, begynner brukere av partnerorganisasjonen å utnytte lokal KMS for nøkkeladministrasjon?
Svar: Brukere begynner å bruke lokal KMS for nøkkeladministrasjon først etter at HDS er aktivert i Partner Hub.
Ny og endret informasjon
Denne tabellen dekker nye funksjoner eller funksjonalitet, endringer i eksisterende innhold, og eventuelle større feil som ble løst i distribusjonsveiledningen for hybriddatasikkerhet for flere leiet akere.
|
Dato |
Endringer gjort |
|---|---|
| 01 oktober 2026 | |
| 21. september 2026 |
|
| 31. august 2026 |
|
| 28. august 2026 |
|
| 30. juli 2026 |
|
| 02 juli 2026 |
|
| 23. juni 2026 |
|
| 01 juni 2026 |
|
| 16. april 2026 |
|
| 25. mars 2026 |
|
|
05 desember 2025 |
|
|
21. november 2025 |
|
|
08. mai, 2025 |
|
| 4. mars 2025 |
|
|
30. januar 2025 |
Lagt til SQL server versjon 2022 i listen over støttede SQL-servere i databaseserverkrav. |
|
15. januar 2025 |
Lagt til begrensninger for Multi-Tenant Hybrid Datasikkerhet. |
|
8. januar 2025 |
Lagt til et notat i Utfør første oppsett og last ned installasjonsfiler som sier at det å klikke på Konfigurer på HDS-kortet i Partner Hub er et viktig trinn i installasjonsprosessen. |
|
07 januar 2025 |
Oppdat erte krav til virtuell vert, oppgaveflyt for distribusjon av hybriddatas ikker het og installering av HDS Host OVA for å vise nye krav til ESXi 7.0. |
|
Desember 13, 2024 |
Først publisert. |
Oversikt over hybriddatasikkerhet for flere leietakere
Fra dag én har datasikkerhet vært hovedfokuset i utformingen av Webex-appen. Hjørnesteinen i denne sikkerheten er ende-til-ende-innholdskryptering, aktivert av Webex App-klienter som samhandler med Key Management Service (KMS). KMS er ansvarlig for å opprette og administrere kryptografiske nøkler som klienter bruker til dynamisk å kryptere og dekryptere meldinger og filer.
Som standard får alle Webex App-kunder ende-til-ende-kryptering med dynamiske nøkler lagret i skyen KMS, i Ciscos sikkerhetsområde. Hybrid Data Security flytter KMS og andre sikkerhets relaterte funksjoner til bedriftens datasenter, slik at ingen andre enn deg har nøklene til det krypterte innholdet ditt.
Multi-Tenant Hybrid Data Security gjør det mulig for organisasjoner å utnytte HDS gjennom en pålitelig lokal partner, som kan fungere som tjenesteleverandør og administrere lokal kryptering og andre sikkerhetstjenester. Dette oppsettet gjør det mulig for partnerorganisasjonen å ha full kontroll over distribusjon og administrasjon av krypteringsnøkler og sikrer at brukerdata fra kundeorganisasjoner er trygge mot ekstern tilgang. Partnerorganisasjoner konfigurerer HDS-forekomster og oppretter HDS-klynger etter behov. Hver forekomst kan støtte flere kundeorganisasjoner i motsetning til en vanlig HDS-distribusjon som er begrenset til en enkelt organisasjon.
Dette gjør det også mulig for mindre organisasjoner å utnytte HDS, siden nøkkeladministrasjonstjenester og sikkerhetsinfrastruktur som datasentre eies av den pålitelige lokale partneren.
Hvordan Multi-Tenant Hybrid Data Security gir datasuverenitet og datakontroll
- Brukergenerert innhold er beskyttet mot ekstern tilgang, som skytjenesteleverandører.
- Lokale pålitelige partnere administrerer krypteringsnøklene til kunder som de allerede har et etablert forhold til.
- Mulighet for lokal teknisk støtte, hvis gitt av partneren.
- Støtter møter, meldinger og ringeinnhold.
Dette dokumentet er rettet mot å hjelpe partnerorganisasjoner med å sette opp og administrere kunder under et Multi-Tenant Hybrid Data Security-system.
Begrensninger ved hybrid datasikkerhet for flere leietakere
- Partnerorganisasjoner må ikke ha noen eksisterende HDS-distribusjon aktiv i Control Hub.
- Leietaker- eller kundeorganisasjoner som ønsker å bli administrert av en partner, må ikke ha noen eksisterende HDS-distribusjon i Control Hub.
- Når Multi-Tenant HDS er distribuert av partneren, begynner alle brukere av kundeorganisasjoner så vel som brukere av partnerorganisasjonen å utnytte Multi-Tenant HDS for krypteringstjenestene sine.
Partnerorganisasjonen og kundeorganisasjonene de administrerer vil ha samme HDS-distribusjon for flere leietakere.
Partnerorganisasjonen vil ikke lenger bruke skybasert KMS etter at Multi-Tenant HDS er distribuert.
- Det er ingen mekanisme for å flytte nøkler tilbake til Cloud KMS etter en HDS-distribusjon.
- Administratorroller har visse begrensninger; se avsnittet nedenfor for detaljer.
Roller i hybriddatasikkerhet for flere leietakere
- Partner full administrator - Kan administrere innstillinger for alle kunder som partneren administrerer. Kan også tilordne administratorroller til eksisterende brukere i organisasjonen og tilordne bestemte kunder som skal administreres av partneradministratorer.
- Partneradministrator — Kan administrere innstillinger for kunder som administratoren har klargjort eller som er tilordnet brukeren.
- Fullstendig administrator — Administrator for partnerorganisasjonen som er autorisert til å utføre oppgaver som å endre organisasjonsinnstillinger, administrere lisenser og tildele roller.
- End-to-end HDS-oppsett og administrasjon av Multi-Tenant HDS for alle kundeorganisasjoner - Fullstendige administratorrettigheter og fullstendige administratorrettigheter kreves for partner.
- Administrasjon av tildelte leietakerorganisasjoner - Partneradministrator og fullstendige administratorrettigheter kreves.
Sikkerhetsriksarkitektur
Webex-skyarkitekturen skiller forskjellige typer tjenester i separate riker, eller klareringsdomener, som vist nedenfor.
For å forstå Hybrid Data Security ytterligere, la oss først se på denne rene skysaken, der Cisco leverer alle funksjoner i skyområdene sine. Identitetstjenesten, det eneste stedet der brukere kan korreleres direkte med deres personlige informasjon som e-postadresse, er logisk og fysisk atskilt fra sikkerhetsområdet i datasenter B. Begge er i sin tur atskilt fra riket der kryptert innhold til slutt lagres, i datasenter C.
I dette diagrammet er klienten Webex-appen som kjører på en brukers bærbare datamaskin, og har autentisert med identitetstjenesten. Når brukeren skriver en melding som skal sendes til et mellomrom, utføres følgende trinn:
-
Klienten oppretter en sikker forbindelse med nøkkeladministrasjonstjenesten (KMS), og ber deretter om en nøkkel for å kryptere meldingen. Den sikre tilkoblingen bruker ECDH, og KMS krypterer nøkkelen ved hjelp av en AES-256-hovednøkkel.
-
Meldingen er kryptert før den forlater klienten. Klienten sender den til indekseringstjenesten, som oppretter krypterte søkeindekser for å hjelpe i fremtidige søk etter innholdet.
-
Den krypterte meldingen sendes til overholdelsestjenesten for samsvarskontroller.
-
Den krypterte meldingen lagres i lagringsriket.
Når du distribuerer Hybrid Data Security, flytter du sikkerhetsområdefunksjonene (KMS, indeksering og samsvar) til det lokale datasenteret. De andre skytjenestene som utgjør Webex (inkludert identitets- og innholdslagring) forblir i Ciscos riker.
Samarbeid med andre organisasjoner
Brukere i organisasjonen din kan regelmessig bruke Webex App til å samarbeide med eksterne deltakere i andre organisasjoner. Når en av brukerne ber om en nøkkel for et område som eies av organisasjonen din (fordi den ble opprettet av en av brukerne dine), sender KMS nøkkelen til klienten over en ECDH-sikret kanal. Men når en annen organisasjon eier nøkkelen for plassen, ruter KMS forespørselen ut til Webex-skyen gjennom en egen ECDH-kanal for å hente nøkkelen fra riktig KMS, og returnerer deretter nøkkelen til brukeren din på den opprinnelige kanalen.
KMS-tjenesten som kjører på Org A validerer tilkoblingene til KMS-er i andre organisasjoner ved hjelp av x.509 PKI-sertifikater. Se Klargjøre miljøet for detaljer om hvordan du genererer et x.509-sertifikat som skal brukes med distribusjonen for hybriddatasikkerhet for flere leietakere.
Forventninger til implementering av hybrid datasikkerhet
En hybrid datasikkerhet-distribusjon krever betydelig engasjement og bevissthet om risikoen som følger med å eie krypteringsnøkler.
Hvis du vil distribuere hybrid datasikkerhet, må du oppgi:
-
Et sikkert datasenter i et land som er et støttet sted for Cisco Webex Teamsplan ene.
-
Utstyret, programvaren og nettverkstilgangen beskrevet i Forbered miljøet.
Fullstendig tap av enten konfigurasjons-ISO-en du bygger for Hybrid Data Security eller databasen du oppgir, vil resultere i tap av nøklene. Tap av nøkler hindrer brukere i å dekryptere rominnhold og andre krypterte data i Webex-appen. Hvis dette skjer, kan du bygge en ny distribusjon, men bare nytt innhold vil være synlig. For å unngå tap av tilgang til data, må du:
-
Administrer sikkerhetskopiering og gjenoppretting av databasen og konfigurasjonen ISO.
-
Vær forberedt på å utføre rask gjenoppretting etter katastrofe hvis det oppstår en katastrofe, for eksempel databasediskfeil eller datasenterkatastrofe.
Migrering fra Multi-Tenant Hybrid Data Security (HDS) til Webex Cloud KMS støttes ikke. Avvikling av HDS vil resultere i tap av tilgang til innhold og data som tidligere er kryptert med disse nøklene. Du må beholde HDS for å bevare tilgang til eksisterende kryptert innhold.
Oppsettprosess på høyt nivå
Dette dokumentet dekker oppsett og administrasjon av en multi-tenant hybrid datasikkerhet-distribusjon:
-
Konfigurere hybrid datasikkerhet — Dette inkluderer klargjøring av nødvendig infrastruktur og installasjon av programvare for hybrid datasikkerhet, bygging av en HDS-klynge, legge til leietakerorganisasjoner i klyngen og administrere CMKs (Customer Main Keys). Dette vil gjøre det mulig for alle brukere av kundeorganisasjonene dine å bruke Hybrid Data Security-klyngen til sikkerhetsfunksjoner.
Installasjons-, aktiverings- og administrasjonsfasene dekkes i detalj i de neste tre kapitlene.
-
Oppretthold distribusjonen av hybriddatasikker het — Webex-skyen gir automatisk løpende oppgraderinger. IT-avdelingen din kan tilby nivå 1-støtte for denne distribusjonen, og engasjere Cisco-støtte etter behov. Du kan bruke varsler på skjermen og konfigurere e-postbaserte varsler i Partner Hub.
-
Forstå vanlige varsler, feilsøkingstrinn og kjente problemer — Hvis du får problemer med å distribuere eller bruke Hybrid Data Security, kan det siste kapittelet i denne veiledningen og vedlegget om kjente problemer hjelpe deg med å finne og løse problemet.
Hybrid datasikkerhetsdistribusjonsmodell
I bedriftsdatasenteret distribuerer du Hybrid Data Security som en enkelt klynge av noder på separate virtuelle verter. Nodene kommuniserer med Webex-skyen gjennom sikre webstikkontakter og sikker HTTP.
Under installasjonsprosessen gir vi deg OVA-filen for å konfigurere det virtuelle apparatet på de virtuelle maskinene du oppgir. Du bruker HDS-oppsettverktøyet til å opprette en tilpasset ISO-fil for klyngekonfigurasjon som du monterer på hver node. Hybrid Data Security-klyngen bruker den medfølgende Syslogd-serveren og PostgreSQL- eller Microsoft SQL Server-databasen. (Du konfigurerer Syslogd- og databasetilkoblingsdetaljer i HDS-installasjonsverktøyet.)
Minste antall noder du kan ha i en klynge er to. Vi anbefaler minst tre per klynge. Å ha flere noder sikrer at tjenesten ikke blir avbrutt under en programvareoppgradering eller annen vedlikeholdsaktivitet på en node. (Webex-skyen oppgraderer bare én node om gangen.)
Alle noder i en klynge får tilgang til samme nøkkeldatalager, og logger aktivitet til samme syslog-server. Nodene selv er statsløse, og håndterer nøkkelforespørsler på round-robin-måte, som instruert av skyen.
Noder blir aktive når du registrerer dem i Partner Hub. Hvis du vil ta en individuell node ut av drift, kan du avregistrere den og senere registrere den på nytt om nødvendig.
Proxy-støtte
Hybrid datasikkerhet støtter eksplisitte, gjennomsiktige og ikke-inspiserende proxyer. Du kan knytte disse proxy-ene til distribusjonen din slik at du kan sikre og overvåke trafikk fra bedriften ut til skyen. Du kan bruke et plattformadministratorgrensesnitt på nodene for sertifikatadministrasjon og for å kontrollere den generelle tilkoblingsstatusen etter at du har konfigurert proxyen på nodene.
Hybrid Data Security-nodene støtter følgende proxy-alternativer:
-
Ingen proxy — Standard hvis du ikke bruker HDS-nodeoppsettet Klareringsbutikk og proxy-konfigurasjon til å integrere en proxy. Ingen sertifikatoppdatering er nødvendig.
-
Transparent proxy uten inspeksjon — Nodene er ikke konfigurert til å bruke en bestemt proxy-serveradresse og bør ikke kreve noen endringer for å fungere med en ikke-inspiserende proxy. Ingen sertifikatoppdatering er nødvendig.
-
Gjennomsiktig tunneling eller inspeksjon av proxy — Nodene er ikke konfigurert til å bruke en bestemt proxy-serveradresse. Ingen HTTP- eller HTTPS-konfigurasjonsendringer er nødvendige på nodene. Nodene trenger imidlertid et rotsertifikat slik at de stoler på proxyen. Inspekterende proxyer brukes vanligvis av IT til å håndheve retningslinjer for hvilke nettsteder som kan besøkes og hvilke typer innhold som ikke er tillatt. Denne typen proxy dekrypterer all trafikken din (til og med HTTPS).
-
Eksplisitt proxy — Med eksplisitt proxy forteller du HDS-nodene hvilken proxy-server og autentiseringsskjema de skal bruke. Hvis du vil konfigurere en eksplisitt proxy, må du angi følgende informasjon på hver node:
-
Proxy IP/FQDN —Adresse som kan brukes til å nå proxy-maskinen.
-
Proxy-port — Et portnummer som proxyen bruker til å lytte etter proxy-trafikk.
-
Proxy-protokoll — Avhengig av hva proxy-serveren støtter, velger du mellom følgende protokoller:
-
HTTP — viser og kontrollerer alle forespørsler som klienten sender.
-
https — gir en kanal til serveren. Klienten mottar og validerer serverens sertifikat.
-
-
Godkjenningsty pe — Velg blant følgende godkjenningstyper:
-
Ingen — Ingen ytterligere godkjenning er nødvendig.
Tilgjengelig hvis du velger enten HTTP eller HTTPS som proxy-protokoll.
-
Grunn leggende — Brukes for en HTTP-brukeragent for å oppgi et brukernavn og passord når du foretar en forespørsel. Bruker Base64-koding.
Tilgjengelig hvis du velger enten HTTP eller HTTPS som proxy-protokoll.
Krever at du skriver inn brukernavn og passord på hver node.
-
Sammendrag —Brukes til å bekrefte kontoen før du sender sensitiv informasjon. Bruker en hash-funksjon på brukernavnet og passordet før sending over nettverket.
Bare tilgjengelig hvis du velger HTTPS som proxy-protokoll.
Krever at du skriver inn brukernavn og passord på hver node.
-
-
Eksempel på hybride datasikkerhetsnoder og proxy
Dette diagrammet viser et eksempel på forbindelse mellom Hybrid Data Security, nettverk og en proxy. For proxy-alternativene for gjennomsiktig inspeksjon og HTTPS-eksplisitt inspeksjon må det samme rotsertifikatet installeres på proxyen og på Hybrid Data Security-nodene.
Blokkert ekstern DNS-oppløsningsmodus (eksplisitte proxy-konfigurasjoner)
Når du registrerer en node eller sjekker nodens proxy-konfigurasjon, tester prosessen DNS-oppslag og tilkobling til Cisco Webex skyen. I distribusjoner med eksplisitte proxy-konfigurasjoner som ikke tillater ekstern DNS-oppløsning for interne klienter, hvis noden ikke kan spørre DNS-serverne, går den automatisk til modus for blokkert ekstern DNS-oppløsning. I denne modusen kan noderegistrering og andre proxy-tilkoblingstester fortsette.
Krav til hybrid datasikkerhet for flere leietakere
Cisco WebexLisenskrav
Slik distribuerer du hybriddatasikkerhet for flere leietakere:
-
Leietakerorganisasjoner: Du må ha Pro Pack forCisco Webex Control Hub. (Se https://www.cisco.com/go/pro-pack.)
Krav til Docker Desktop
Før du installerer HDS-nodene dine, trenger du Docker Desktop for å kjøre et installasjonsprogram. Docker oppdaterte nylig sin lisensieringsmodell. Organisasjonen din kan kreve et betalt abonnement for Docker Desktop. For detaljer, se Docker-blogginnlegget, "Docker oppdaterer og utvider produkt abonnementene våre».
Kunder uten Docker Desktop-lisens kan bruke et åpen kildekode-beholderadministrasjonsverktøy som Podman Desktop til å kjøre, administrere og opprette containere. Se Kj ør HDS-installasjonsverktøy ved hjelp av Podman Desktop for detaljer.
X.509-sertifikatkrav
Sertifikatkjeden må oppfylle følgende krav:
|
Krav |
Detaljer |
|---|---|
| |
|
CN trenger ikke å være tilgjengelig eller være en live vert. Vi anbefaler at du bruker et navn som gjenspeiler organisasjonen din, for eksempel CN må ikke inneholde et * (jokertegn). CN brukes til å verifisere Hybrid Data Security-nodene til Webex App-klienter. Alle Hybrid Data Security-nodene i klyngen bruker det samme sertifikatet. KMS identifiserer seg ved hjelp av CN-domenet, ikke et domene som er definert i x.509v3 SAN-feltene. Når du har registrert en node med dette sertifikatet, støtter vi ikke endring av CN-domenenavnet. |
|
KMS-programvaren støtter ikke SHA1-signaturer for validering av tilkoblinger til andre organisasjoners KMS-er. |
|
Du kan bruke en omformer som OpenSSL til å endre sertifikatformatet. Du må skrive inn passordet når du kjører HDS Setup Tool. |
| Bare RSA-sertifikater støttes. |
KMS-programvaren håndhever ikke nøkkelbruk eller utvidede nøkkelbruksbegrensninger. Noen sertifikatautoriteter krever at utvidede nøkkelbruksbegrensninger brukes på hvert sertifikat, for eksempel servergodkjenning. Det er greit å bruke serverautentisering eller andre innstillinger.
Krav til virtuell vert
De virtuelle vertene du vil konfigurere som Hybrid Data Security-noder i klyngen, har følgende krav:
-
Minst to separate verter (3 anbefales) plassert i samme sikre datasenter
-
Støttede hypervisorer:
-
VMware ESXi 7.0 eller 8.0.
- Cisco Enterprise Network Function Virtualization Infrastructure Software (NFVIS) versjon 26.2.1.
- Nutanix AOS 7.5.x med Nutanix AHV 11.0.x.
-
-
Minimum 4 vCPUer, 8 GB hovedminne, 30 GB lokal harddiskplass per server.
Databaseserverkrav
Opprett en ny database for nøkkel lagring. Ikke bruk standarddatabasen. HDS-programmene oppretter databaseskjemaet når de er installert.
Det er to alternativer for databaseserver. Kravene til hver er som følger:
|
PostgreSQL |
Microsoft SQL Server |
|---|---|
|
|
|
Minimum 8 vCPUer, 16 GB hovedminne, tilstrekkelig harddiskplass og overvåking for å sikre at den ikke overskrides (2 TB anbefales hvis du vil kjøre databasen i lang tid uten å måtte øke lagringsplassen) |
Minimum 8 vCPUer, 16 GB hovedminne, tilstrekkelig harddiskplass og overvåking for å sikre at den ikke overskrides (2 TB anbefales hvis du vil kjøre databasen i lang tid uten å måtte øke lagringsplassen) |
HDS-programvaren installerer for øyeblikket følgende driverversjoner for kommunikasjon med databaseserveren:
|
PostgreSQL |
Microsoft SQL Server |
|---|---|
|
Postgres JDBC-driver 42.2.5 |
SQL Server JDBC-driver 4.6 Denne driverversjonen støtter SQL Server Always On (Al ways On Failover Cluster Instances og Al ways On Tilgjengelighetsgrupper). |
Tilleggskrav for Windows-godkjenning mot Microsoft SQL Server
Hvis du vil at HDS-noder skal bruke Windows-godkjenning for å få tilgang til nøkkellagringsdatabasen på Microsoft SQL Server, trenger du følgende konfigurasjon i miljøet ditt:
-
HDS-nodene, Active Directory infrastrukturen og MS SQL Server må alle synkroniseres med NTP.
-
Windows-kontoen du oppgir til HDS-noder, må ha lese/skrivetilgang til databasen.
-
DNS-serverne du oppgir til HDS-noder, må kunne løse nøkkeldistribusjonssenter (KDC).
-
Du kan registrere HDS-databaseforekomsten på Microsoft SQL Server som et Service Principal Name (SPN) på din. Active Directory Se Registrer et hovednavn for tjenesten for Kerberos-tilkoblinger.
HDS-oppsettverktøyet, HDS-starteren og lokal KMS må alle bruke Windows-godkjenning for å få tilgang til nøkkellagringsdatabasen. De bruker detaljene fra ISO-konfigurasjonen til å konstruere SPN når du ber om tilgang med Kerberos-godkjenning.
Eksterne tilkoblingskrav
Konfigurer brannmuren for å tillate følgende tilkobling for HDS-programmene:
|
Søknad |
Protokoll |
Havn |
Retning fra app |
Bestemmelsessted |
|---|---|---|---|---|
|
Hybrid datasikkerhetsnoder |
TCP |
443 |
Utgående HTTPS og WSS |
|
|
HDS-oppsettverktøy |
TCP |
443 |
Utgående HTTPS |
|
Hybrid Data Security-nodene fungerer med NAT (Network Access Translation) eller bak en brannmur, så lenge NAT eller brannmuren tillater de nødvendige utgående tilkoblingene til domenedestinasjonene i tabellen ovenfor. For tilkoblinger som går inn til Hybrid Data Security-nodene, bør ingen porter være synlige fra internett. I datasenteret trenger klienter tilgang til Hybrid Data Security-nodene på TCP-portene 443 og 22 for administrative formål.
URL-adressene for Common Identity (CI) -vertene er regionspesifikke. Dette er de nåværende CI-vertene:
|
Regionen |
Vanlige URL-adresser for identitetsvert |
|---|---|
|
Amerika |
|
|
Den europeiske union |
|
|
-Canada |
|
| - Singapore |
|
| De forente arabiske emirater |
|
Proxy-serverkrav
-
Vi støtter offisielt følgende proxy-løsninger som kan integreres med dine Hybrid Data Security-noder.
-
Gjennomsiktig proxy — Cisco Web Security Appliance (WSA).
-
Eksplisitt proxy - blekksprut.
Squid-proxyer som inspiserer HTTPS-trafikk kan forstyrre etableringen av websocket (wss:) -tilkoblinger. Hvis du vil omgå dette problemet, kan du se Konfigurere Squid-proxyer for hybrid datasikkerhet.
-
-
Vi støtter følgende godkjenningstypekombinasjoner for eksplisitte proxyer:
-
Ingen autentisering med HTTP eller HTTPS
-
Grunnleggende godkjenning med HTTP eller HTTPS
-
Fordøst-godkjenning bare med HTTPS
-
-
For en gjennomsiktig inspekterende proxy eller en HTTPS-eksplisitt proxy, må du ha en kopi av proxy-rotsertifikatet. Distribusjonsinstruksjonene i denne veiledningen forteller deg hvordan du laster opp kopien til klareringslagrene til Hybrid Data Security-nodene.
-
Nettverket som er vert for HDS-nodene, må konfigureres til å tvinge utgående TCP-trafikk på port 443 til å rute gjennom proxyen.
-
Proxyer som inspiserer netttrafikk kan forstyrre nettkontaktene.
Hvis dette problemet oppstår, vil det løse problemet ved å omgå (ikke inspisere) trafikk tilwbx2.com og ciscospark.com.
Fullfør forutsetningene for hybrid datasikkerhet
| 1 |
Forsikre deg om at organisasjonen din ikke har HDS aktivert i Control Hub, og få legitimasjonen til en konto med partnerens fulle administrator- og fullstendige administratorrettigheter. Forsikre deg om at Webex-kundeorganisasjonen din er aktivert for Pro Pack forCisco Webex Control Hub. Kontakt din Cisco-partner eller kundeansvarlig for å få hjelp med denne prosessen. Kundeorganisasjoner bør ikke ha noen eksisterende HDS-distribusjon. |
| 2 |
Velg et domenenavn for HDS-distribusjonen (for eksempel |
| 3 |
Forbered identiske virtuelle verter som du vil konfigurere som Hybrid Data Security-noder i klyngen. Du trenger minst to separate verter (3 anbefales) plassert i samme sikre datasenter, som oppfyller kravene i Virtual Host Requirements. |
| 4 |
Klargjør databaseserveren som skal fungere som nøkkeldatalageret for klyngen, i henhold til databaseserverkravene. Databaseserveren må være plassert i det sikre datasenteret med de virtuelle vertene. |
| 5 |
For rask gjenoppretting etter katastrofe, sett opp et sikkerhetskopimiljø i et annet datasenter. Sikkerhetskopieringsmiljøet speiler produksjonsmiljøet til virtuelle maskiner og en sikkerhetskopieringsdatabaseserver. Hvis produksjonen for eksempel har 3 virtuelle maskiner som kjører HDS-noder, bør sikkerhetskopimiljøet ha tre virtuelle maskiner. |
| 6 |
Sett opp en syslog-vert for å samle logger fra nodene i klyngen. Samle nettverksadressen og syslog-porten (standard er UDP 514). |
| 7 |
Opprett en sikker sikkerhetskopieringspolicy for Hybrid Data Security-nodene, databaseserveren og syslog-verten. For å forhindre tap av data som ikke kan gjenopprettes, må du som minimum sikkerhetskopiere databasen og konfigurasjons-ISO-filen som er generert for Hybrid Data Security-nodene. Fordi Hybrid Data Security-nodene lagrer nøklene som brukes til kryptering og dekryptering av innhold, vil manglende opprettholdelse av en operativ distribusjon føre til at innholdet ikke kan gjenopprettes. Webex App-klienter hurtigbuffer nøklene sine, så et strømbrudd kan ikke merkes umiddelbart, men vil bli tydelig over tid. Selv om midlertidige avbrudd er umulige å forhindre, kan de gjenopprettes. Fullstendig tap (ingen sikkerhetskopier tilgjengelig) av enten databasen eller konfigurasjons-ISO-filen vil imidlertid føre til at kundedata ikke kan gjenopprettes. Operatørene av Hybrid Data Security-nodene forventes å opprettholde hyppige sikkerhetskopier av databasen og konfigurasjons-ISO-filen, og være forberedt på å gjenoppbygge Hybrid Data Security-datasenteret hvis det oppstår en katastrofal feil. |
| 8 |
Kontroller at brannmurkonfigurasjonen tillater tilkobling for Hybrid Data Security-noder som beskrevet i Eksterne tilkoblingskrav. |
| 9 |
Installer Docker (https://www.docker.com) på en hvilken som helst lokal maskin som kjører et støttet operativsystem (Microsoft Windows10 Professional eller Enterprise 64-bit, eller Mac OSX Yosemite 10.10.3 eller nyere) med en nettleser som kan få tilgang til den på http://127.0.0.1:8080. Du bruker Docker-forekomsten til å laste ned og kjøre HDS Setup Tool, som bygger den lokale konfigurasjonsinformasjonen for alle Hybrid Data Security-nodene. Du trenger kanskje en Docker Desktop-lisens. Se K rav til Docker Desktop hvis du vil ha mer informasjon. Hvis du vil installere og kjøre HDS Setup Tool, må den lokale maskinen ha tilkoblingen som er beskrevet i Eksterne tilkoblingskrav. |
| 10 |
Hvis du integrerer en proxy med Hybrid Data Security, må du kontrollere at den oppfyller proxy-serverkravene. |
Oppgaveflyt for distribusjon av hybrid datasikkerhet
| 1 |
Utfør første oppsett og last ned installasjonsfiler Last ned OVA-filen til din lokale maskin for senere bruk. |
| 2 |
Opprette en konfigurasjons-ISO for HDS-vertene Bruk HDS Setup Tool til å opprette en ISO-konfigurasjonsfil for Hybrid Data Security-nodene. |
| 3 |
Opprett en virtuell maskin fra OVA-filen og utfør innledende konfigurasjon, for eksempel nettverksinnstillinger. Konfigurering av nettverksinnstillinger under OVA-distribusjon støttes bare på ESXi 7.0 og 8.0. For NFVIS-distribusjoner, se Installere HDS Host OVA på NF VIS. For Nutanix-distribusjoner, se Installere HDS Host OVA på Nutanix |
| 4 |
Konfigurere virtuell hybriddatasikkerhet Logg på VM-konsollen og angi påloggingsinformasjonen. Konfigurer nettverksinnstillingene for noden hvis du ikke konfigurerte dem på tidspunktet for OVA-distri busjonen. For NFVIS-distribusjoner, se Konfigurere virtuell hybriddatasikkerhet på NFVIS. For Nutanix-distribusjoner, se Opprette virtuell hybriddatasikkerhet på Nutanix |
| 5 |
Last opp og monter HDS-konfigurasjons-ISO Konfigurer VM fra ISO-konfigurasjonsfilen du opprettet med HDS Setup Tool. For NFVIS-distribusjoner, se Last opp og montere HDS-konfigurasjons-ISO. For Nutanix-distribusjoner, se Last opp og montere HDS-konfigurasjons-ISO |
| 6 |
Konfigurer HDS-noden for proxy-integrering Hvis nettverksmiljøet krever proxy-konfigurasjon, angir du typen proxy du skal bruke for noden, og legger til proxy-sertifikatet i klareringslageret om nødvendig. |
| 7 |
Registrer den første noden i klyngen Registrer den virtuelle maskinen med Cisco Webex skyen som en hybrid datasikkerhetsnode. |
| 8 |
Opprett og registrer flere noder Fullfør klyngeoppsettet. |
| 9 |
Aktiver HDS for flere leietakere på Partner Hub. Aktiver HDS og administrer leietakerorganisasjoner på Partner Hub. |
Utfør første oppsett og last ned installasjonsfiler
I denne oppgaven laster du ned en OVA-fil til maskinen din (ikke til serverne du konfigurerer som Hybrid Data Security-noder). Du bruker denne filen senere i installasjonsprosessen.
| 1 |
Logg på Partner Hub, og klikk deretter T jenester. |
| 2 |
Finn Hybrid Data Security-kortet i Hybrid-delen, og klikk deretter Konfigurer. Å klikke på Konfigurer i Partner Hub er avgjørende for distribusjonsprosessen. Ikke fortsett med installasjonen uten å fullføre dette trinnet. |
| 3 |
Klikk Legg til en ressurs og klikk Last ned.OVA-fil på Install and Configure Software- kortet. Eldre versjoner av programvarepakken (OVA) vil ikke være kompatible med de nyeste Hybrid Data Security-oppgraderingene. Dette kan føre til problemer mens du oppgraderer programmet. Sørg for at du laster ned den nyeste versjonen av OVA-filen. Du kan også laste ned OVA når som helst fra Hjelp- delen. Klikk Inn . OVA-filen begynner automatisk å
laste ned. Lagre filen til et sted på
maskinen.
|
Opprette en konfigurasjons-ISO for HDS-vertene
Installasjonsprosessen for hybriddatasikkerhet oppretter en ISO-fil. Deretter bruker du ISO til å konfigurere Hybrid Data Security-verten.
Før du begynner
-
HDS-installasjonsverktøyet kjører som en Docker-beholder på en lokal maskin. For å få tilgang til den, kjør Docker på den maskinen. Installasjonsprosessen krever legitimasjonen til en Partner Hub-konto med fullstendige administratorrettigheter.
Hvis du ikke har en Docker Desktop-lisens, kan du bruke Podman Desktop til å kjøre HDS Setup-verktøyet for trinn 1 til 5 i fremgangsmåten nedenfor. Se Kj ør HDS-installasjonsverktøy ved hjelp av Podman Desktop for detaljer.
Hvis HDS-installasjonsverktøyet kjører bak en proxy i miljøet ditt, må du oppgi proxy-innstillingene (server, port, legitimasjon) gjennom Docker-miljøvariablene når du tar opp Docker-beholderen i trinn 5 nedenfor. Denne tabellen gir noen mulige miljøvariabler:
Beskrivelse
Variabel
HTTP Proxy uten godkjenning
GLOBAL_AGENT_HTTP_PROXY = http://SERVER_IP:PORTHTTPS Proxy uten godkjenning
GLOBAL_AGENT_HTTPS_PROXY= http://SERVER_IP:PORTHTTP Proxy med autentisering
GLOBAL_AGENT_HTTP_PROXY = http://USERNAME:PASSWORD@SERVER_IP:PORTHTTPS Proxy med autentisering
GLOBAL_AGENT_HTTPS_PROXY= http://USERNAME:PASSWORD@SERVER_IP:PORT -
Konfigurasjons-ISO-filen du genererer inneholder hovednøkkelen som krypterer PostgreSQL- eller Microsoft SQL Server-databasen. Du trenger den siste kopien av denne filen når du gjør konfigurasjonsendringer, som disse:
-
Databaselegitimasjon
-
Sertifikatoppdateringer
-
Endringer i autorisasjonspolitikken
-
-
Hvis du planlegger å kryptere databasetilkoblinger, konfigurerer du PostgreSQL- eller SQL Server-distribusjonen for TLS.
| 1 |
Skriv inn riktig kommando for miljøet på maskinens kommandolinje: I vanlige miljøer: I FedRAMP-miljøer: Dette trinnet rydder opp tidligere HDS-oppsettverktøybilder. Hvis det ikke er noen tidligere bilder, returnerer det en feil som du kan ignorere. | ||||||||||
| 2 |
Hvis du vil logge på Docker-bilderegisteret, skriver du inn følgende: | ||||||||||
| 3 |
Ved passordledeteksten skriver du inn denne hashkoden: | ||||||||||
| 4 |
Last ned det nyeste stabile bildet for miljøet ditt: I vanlige miljøer: I FedRAMP-miljøer: | ||||||||||
| 5 |
Når trekket er fullført, skriver du inn riktig kommando for miljøet ditt:
Når containeren kjører, ser du «Ekspresserverlytting på port 8080.» | ||||||||||
| 6 |
Installasjonsverktøyet støtter ikke tilkobling til localhost via http://localhost:8080. Bruk http://127.0.0.1:8080 for å koble til localhost. Bruk en nettleser til å gå til localhost, Verktøyet bruker denne første oppføringen av brukernavnet for å angi riktig miljø for den kontoen. Verktøyet viser deretter standard påloggingsprompt. | ||||||||||
| 7 |
Når du blir bedt om det, angir du påloggingsinformasjonen for Partner Hub administrator, og klikker deretter Logg på for å gi tilgang til de nødvendige tjenestene for Hybrid Data Security. | ||||||||||
| 8 |
Klikk Komme i gang på oversiktssiden Installasjons verktøy. | ||||||||||
| 9 |
På ISO-Import -siden har du disse alternativene:
| ||||||||||
| 10 |
Kontroller at X.509-sertifikatet oppfyller kravene i X.509-sertifik atkrav.
| ||||||||||
| 11 |
Skriv inn databaseadressen og kontoen for HDS for å få tilgang til nøkkeldatalageret: | ||||||||||
| 12 |
Velg en TLS-databasetilkoblingsmodus:
Når du laster opp rotsertifikatet (om nødvendig) og klikker Fortsett, tester HDS-installasjonsverktøyet TLS-tilkoblingen til databaseserveren. Verktøyet verifiserer også sertifikatsignereren og vertsnavnet, hvis aktuelt. Hvis en test mislykkes, viser verktøyet en feilmelding som beskriver problemet. Du kan velge om du vil ignorere feilen og fortsette med oppsettet. (På grunn av tilkoblingsforskjeller kan HDS-nodene kanskje opprette TLS-tilkoblingen selv om HDS Setup Tool-maskinen ikke kan teste den.) | ||||||||||
| 13 |
På Systemlogger-siden konfigurerer du Syslogd-serveren: | ||||||||||
| 14 |
(Valgfritt) Du kan endre standardverdien for enkelte databasetilkoblingsparametere i Avan serte innstillinger. Vanligvis er denne parameteren den eneste du kanskje vil endre: | ||||||||||
| 15 |
Klikk Fortsett på skjerm bildet Tilbakestill passord for tjenestekon toer. Passord for tjenestekontoer har en levetid på ni måneder. Bruk dette skjermbildet når passordene dine nærmer seg utløpet, eller du vil tilbakestille dem for å ugyldiggjøre tidligere ISO-filer. | ||||||||||
| 16 |
Klikk Last ned ISO-fil. Lagre filen på et sted som er lett å finne. | ||||||||||
| 17 |
Lag en sikkerhetskopi av ISO-filen på ditt lokale system. Hold sikkerhetskopien sikker. Denne filen inneholder en hovedkrypteringsnøkkel for databasens innhold. Begrens tilgangen til bare de Hybrid Data Security-administratorene som skal gjøre konfigurasjonsendringer. | ||||||||||
| 18 |
Hvis du vil slå av installasjonsverktøyet, skriver du |
Hva du skal gjøre videre
Sikkerhetskopier konfigurasjons-ISO-filen. Du trenger det for å opprette flere noder for gjenoppretting, eller for å gjøre konfigurasjonsendringer. Hvis du mister alle kopier av ISO-filen, har du også mistet hovednøkkelen. Det er ikke mulig å gjenopprette nøklene fra PostgreSQL- eller Microsoft SQL Server-databasen.
Vi har aldri en kopi av denne nøkkelen og kan ikke hjelpe hvis du mister den.
Installer HDS Host OVA
Hvis du distribuerer HDS på en NFVIS-hypervisor, kan du se delen Installere HDS-verten OVA på NFVIS.
Hvis du distribuerer HDS på en Nutanix-hypervisor, se delen Installer HDS Host OVA på Nut anix.
| 1 |
Bruk VMware vSphere-klienten på datamaskinen din til å logge på den virtuelle ESXi-verten. |
| 2 |
Velg Fil > Distribuer OVF-mal. |
| 3 |
I veiviseren angir du plasseringen til OVA-filen du lastet ned tidligere, og klikker deretter Neste. |
| 4 |
På siden Velg et navn og en mappe angir du et virtuell maskinnavn for noden (for eksempel «HDS_node_1"), velger en plassering der den virtuelle maskinnodedistribusjonen kan ligge, og klikk deretter Neste. |
| 5 |
Velg målberegningsressursen på siden Velg en beregningsressurs, og klikk deretter Neste. En valideringskontroll kjøres. Etter at den er ferdig, vises maldetaljene. |
| 6 |
Bekreft maldetaljene, og klikk deretter Neste. |
| 7 |
Hvis du blir bedt om å velge ressurskonfigurasjonen på Konfigurasjon -siden, klikker du 4 CPU og deretter Neste. |
| 8 |
Klikk Neste på Velg lagring s-siden for å godta standard diskformat og virtuell lagringspolicy. |
| 9 |
På siden Velg nettverk velger du nettverksalternativet fra listen over oppføringer for å gi ønsket tilkobling til VM. |
| 10 |
Konfigurer følgende nettverksinnstillinger på Tilpass mal -siden:
Hvis du foretrekker det, kan du hoppe over nettverksinnstillingskonfigurasjonen og følge trinnene i Konfigurere virtuell hybriddatasik kerhet for å konfigurere innstillingene fra nodekonsollen. Alternativet for å konfigurere nettverksinnstillinger under OVA-distribusjon er testet med ESXi 7.0 og 8.0. Alternativet er kanskje ikke tilgjengelig i tidligere versjoner. |
| 11 |
Høyreklikk noden VM, og velg deretter . Hybrid Data Security-programvaren installeres som gjest på VM-verten. Du er nå klar til å logge på konsollen og konfigurere noden. Feilsøkingstips Du kan oppleve en forsinkelse på noen minutter før nodebeholderne kommer opp. En brobrannmurmelding vises på konsollen under første oppstart, der du ikke kan logge på. |
Konfigurere virtuell hybriddatasikkerhet
Bruk denne fremgangsmåten til å logge på VM-konsollen i Hybrid Data Security-noden for første gang og angi påloggingsinformasjonen. Du kan også bruke konsollen til å konfigurere nettverksinnstillingene for noden hvis du ikke konfigurerte dem på tidspunktet for OVA-distribusjonen.
Hvis du distribuerer HDS på en NFVIS-hypervisor, kan du se avsnittet Konfigurere virtuell hybriddatasikkerhet på NF VIS.
Hvis du distribuerer HDS på en Nutanix-hypervisor, kan du se delen Opprett Hybrid Data Security VM på Nut anix.
| 1 |
I VMware vSphere-klienten velger du Hybrid Data Security-noden VM og velger kategorien Konsoll. VM starter opp og en påloggingsprompt vises. Hvis påloggingsprompten ikke vises, trykker du på Enter.
|
| 2 |
Bruk følgende standard pålogging og passord for å logge på og endre legitimasjonen: Siden du logger på VM for første gang, må du endre administratorpassordet. |
| 3 |
Hvis du allerede har konfigurert nettverksinnstillingene i Installer HDS Host OVA, hopper du over resten av denne prosedyren. Ellers velger du alternativet Rediger konfigurasjon i hovedmenyen. |
| 4 |
Sett opp en statisk konfigurasjon med IP-adresse, maske, gateway og DNS-informasjon. Noden din skal ha en intern IP-adresse og DNS-navn. DHCP støttes ikke. |
| 5 |
(Valgfritt) Endre vertsnavn, domene eller NTP-server (er), hvis det er nødvendig for å matche nettverkspolicyen din. Du trenger ikke angi at domenet samsvarer med domenet du brukte til å skaffe X.509-sertifikatet. |
| 6 |
Lagre nettverkskonfigurasjonen og start VM på nytt slik at endringene trer i kraft. |
Last opp og monter HDS-konfigurasjons-ISO
Hvis du distribuerer HDS på en NFVIS-hypervisor, kan du se delen Last opp og montere HDS-konfigurasjonen ISO-delen.
Hvis du distribuerer HDS på en Nutanix-hypervisor, kan du se delen Last opp og montere HDS-konfigurasjonen ISO-delen.
Før du begynner
Siden ISO-filen inneholder hovednøkkelen, bør den bare eksponeres på et «behov for å vite» -basis, for tilgang for Hybrid Data Security VMs og eventuelle administratorer som måtte trenge å gjøre endringer. Forsikre deg om at bare disse administratorene har tilgang til datalageret.
| 1 |
Last opp ISO-filen fra datamaskinen din: |
| 2 |
Monter ISO-filen: |
Hva du skal gjøre videre
Hvis IT-policyen krever det, kan du eventuelt avmontere ISO-filen etter at alle nodene dine har plukket opp konfigurasjonsendringene. Se (Valgfritt) Avmontere ISO etter HDS-konfigurasjon for detaljer.
Konfigurer HDS-noden for proxy-integrering
Hvis nettverksmiljøet krever en proxy, bruker du denne fremgangsmåten til å angi hvilken type proxy du vil integrere med Hybrid Data Security. Hvis du velger en gjennomsiktig inspekterende proxy eller en HTTPS-eksplisitt proxy, kan du bruke nodens grensesnitt til å laste opp og installere rotsertifikatet. Du kan også sjekke proxy-tilkoblingen fra grensesnittet, og feilsøke potensielle problemer.
Før du begynner
-
Se Proxy-støtte for en oversikt over proxy-alternativene som støttes.
| 1 |
Skriv inn URL-adressen for HDS-nodeoppsett |
| 2 |
Gå til Trust Store & Proxy, og velg deretter et alternativ:
Følg de neste trinnene for en gjennomsiktig inspeksjonsproxy, en HTTP-eksplisitt proxy med grunnleggende godkjenning eller en HTTPS-eksplisitt proxy. |
| 3 |
Klikk Last opp et rotsertifikat eller sluttenhetssertifikat, og naviger deretter til et velg rotsertifikatet for proxyen. Sertifikatet er lastet opp, men ikke installert ennå fordi du må starte noden på nytt for å installere sertifikatet. Klikk på chevronpilen ved navnet på sertifikatutstederen for å få flere detaljer, eller klikk på Slett hvis du har gjort en feil og vil laste opp filen på nytt. |
| 4 |
Klikk Kontroller proxy-tilkobling for å teste nettverkstilkoblingen mellom noden og proxyen. Hvis tilkoblingstesten mislykkes, ser du en feilmelding som viser årsaken og hvordan du kan rette problemet. Hvis du ser en melding om at ekstern DNS-oppløsning ikke var vellykket, kunne ikke noden nå DNS-serveren. Denne tilstanden forventes i mange eksplisitte proxy-konfigurasjoner. Du kan fortsette med oppsettet, og noden vil fungere i blokkert ekstern DNS-oppløsningsmodus. Hvis du tror dette er en feil, fullfører du disse trinnene og ser deretter Slå av blokkert ekstern DNS-oppløsningsmodus. |
| 5 |
Etter at tilkoblingstesten er bestått, for eksplisitt proxy satt til bare https, slå bryteren på til Rute alle port 443/444 https-forespørsler fra denne noden gjennom den eksplisitte proxyen. Denne innstillingen krever 15 sekunder for å tre i kraft. |
| 6 |
Klikk Installer alle sertifikater i klareringsbutikken (vises for en eksplisitt HTTPS-proxy eller en gjennomsiktig inspeksjonsproxy) eller Start på nytt (vises for en eksplisitt HTTP-proxy), les ledeteksten og klikk deretter Installer hvis du er klar. Noden starter på nytt innen få minutter. |
| 7 |
Når noden har startet på nytt, logger du på igjen om nødvendig, og åpner deretter Oversikt- siden for å sjekke tilkoblingskontrollene for å sikre at de alle har grønn status. Proxy-tilkoblingskontrollen tester bare et underdomene til webex.com. Hvis det er tilkoblingsproblemer, er et vanlig problem at noen av skydomenene som er oppført i installasjonsinstruksjonene, blir blokkert ved proxyen. |
Registrer den første noden i klyngen
Når du registrerer den første noden, oppretter du en klynge som noden er tilordnet. En klynge inneholder en eller flere noder som er distribuert for å gi redundans.
Før du begynner
-
Når du begynner registrering av en node, må du fullføre den innen 60 minutter, eller du må starte på nytt.
-
Forsikre deg om at eventuelle popup-blokkeringer i nettleseren din er deaktivert, eller at du tillater et unntak for admin.webex.com.
| 1 |
Logg på https://admin.webex.com. |
| 2 |
Velg Tjenester fra menyen til venstre på skjermen. |
| 3 |
I Hybrid-delen finner du Hybrid Data Security-kort og klikker på Konfigurer. |
| 4 |
Klikk Legg til en ressurs på siden som åpnes. |
| 5 |
I det første feltet i Oppre tt et nytt klyng ekort skriver du inn et navn på klyngen du vil tilordne Hybrid Data Security-noden til. Vi anbefaler at du navngir en klynge basert på hvor nodene i klyngen befinner seg geografisk. Eksempler: «San Francisco» eller «New York» eller «Dallas» |
| 6 |
I det andre feltet skriver du inn den interne IP-adressen eller fullt kvalifisert domenenavn (FQDN) til noden din og klikker Legg til nederst på skjermen. Denne IP-adressen eller FQDN skal samsvare med IP-adressen eller vertsnavnet og domenet du brukte i Konfigurere virtuell hybriddatasikkerhet. En melding vises som indikerer at du kan registrere noden din til Webex.
|
| 7 |
Klikk på Gå til node. Etter noen øyeblikk blir du omdirigert til nodetilkoblingstestene for Webex-tjenester. Hvis alle testene er vellykkede, vises siden Tillat tilgang til hybrid datasikkerhetsnode. Der bekrefter du at du vil gi tillatelser til Webex-organisasjonen din for å få tilgang til noden din. |
| 8 |
Merk av for Tillat tilgang til din hybride datasikkerhetsnode, og klikk deretter Fortsett. Kontoen din er validert, og meldingen «Registrering fullført» indikerer at noden din nå er registrert i Webex-skyen.
|
| 9 |
Klikk på koblingen eller lukk fanen for å gå tilbake til siden Partner Hub Hybrid Data Security. På siden Hybrid Data Security vises den nye klyngen som inneholder noden du registrerte under kategorien Ress ur ser. Noden laster automatisk ned den nyeste programvaren fra skyen.
|
Opprett og registrer flere noder
Før du begynner
-
Når du begynner registrering av en node, må du fullføre den innen 60 minutter, eller du må starte på nytt.
-
Forsikre deg om at eventuelle popup-blokkeringer i nettleseren din er deaktivert, eller at du tillater et unntak for admin.webex.com.
| 1 |
Opprett en ny virtuell maskin fra OVA, gjenta trinnene i Installer HDS Host OVA. |
| 2 |
Konfigurer den første konfigurasjonen på den nye virtuelle maskinen, og gjenta trinnene i Konfigurere virtuell hybriddatasikkerhet. |
| 3 |
Gjenta trinnene i Last opp og monter HDS-konfigurasjons-ISO på den nye VM. |
| 4 |
Hvis du konfigurerer en proxy for distribusjonen, gjentar du trinnene i Konfigurer HDS-noden for proxy-integrering etter behov for den nye noden. |
| 5 |
Registrer noden. |
Hva du skal gjøre videre
Aktiver HDS for flere leietakere på Partner Hub
Denne oppgaven sikrer at alle brukere av kundeorganisasjonene kan begynne å utnytte HDS for lokale krypteringsnøkler og andre sikkerhetstjenester.
Før du begynner
Forsikre deg om at du har fullført konfigureringen av Multi-Tenant HDS-klyngen med det nødvendige antall noder.
| 1 |
Logg på https://admin.webex.com. |
| 2 |
Velg Tjenester fra menyen til venstre på skjermen. |
| 3 |
I Hybrid-delen finner du Hybrid Data Security og klikker på Rediger innstillinger. |
| 4 |
Klikk Aktiver HDS på HDS-statuskortet. |
Legge til leietakerorganisasjoner i Partner Hub
I denne oppgaven tilordner du kundeorganisasjoner til Hybrid Data Security Cluster.
| 1 |
Logg på https://admin.webex.com. |
| 2 |
Velg Tjenester fra menyen til venstre på skjermen. |
| 3 |
I Hybrid-delen finner du Hybrid Data Security og klikker på Vis alle. |
| 4 |
Gå til kategorien Tildelte kunder. Kateg orien Tildelte kunder vises ikke før du oppretter en klynge. |
| 5 |
Klikk på Legg til kunder. |
| 6 |
Velg kunden du vil legge til fra rullegardinmenyen. |
| 7 |
Klikk Legg til, kunden blir lagt til klyngen. |
| 8 |
Gjenta trinn 5 til 7 for å legge til flere kunder i klyngen. |
| 9 |
Klikk på Ferdig nederst på skjermen når du har lagt til kundene. Tilførte kunder vil bli synkronisert på tvers av alle tilgjengelige klynger. |
Hva du skal gjøre videre
Opprett kundehovednøkler (CMK-er) ved hjelp av HDS-oppsettverktøyet
Før du begynner
Tilordne kunder som beskrevet i Legg til leietakerorganisasjoner i Partner Hub. Kjør HDS-installasjonsverktøyet for å fullføre konfigurasjonsprosessen for de nylig tilføyde kundeorganisasjonene.
-
HDS-installasjonsverktøyet kjører som en Docker-beholder på en lokal maskin. For å få tilgang til den, kjør Docker på den maskinen. Installasjonsprosessen krever legitimasjon for en Partner Hub-konto med fullstendige administratorrettigheter for organisasjonen.
Hvis HDS-installasjonsverktøyet kjører bak en proxy i miljøet ditt, må du oppgi proxy-innstillingene (server, port, legitimasjon) gjennom Docker-miljøvariablene når du tar opp Docker-beholderen i trinn 5. Denne tabellen gir noen mulige miljøvariabler:
Beskrivelse
Variabel
HTTP Proxy uten godkjenning
GLOBAL_AGENT_HTTP_PROXY = http://SERVER_IP:PORTHTTPS Proxy uten godkjenning
GLOBAL_AGENT_HTTPS_PROXY= http://SERVER_IP:PORTHTTP Proxy med autentisering
GLOBAL_AGENT_HTTP_PROXY = http://USERNAME:PASSWORD@SERVER_IP:PORTHTTPS Proxy med autentisering
GLOBAL_AGENT_HTTPS_PROXY= http://USERNAME:PASSWORD@SERVER_IP:PORT -
Konfigurasjons-ISO-filen du genererer inneholder hovednøkkelen som krypterer PostgreSQL- eller Microsoft SQL Server-databasen. Du trenger den siste kopien av denne filen når du gjør konfigurasjonsendringer, som disse:
-
Databaselegitimasjon
-
Sertifikatoppdateringer
-
Endringer i autorisasjonspolitikken
-
-
Hvis du planlegger å kryptere databasetilkoblinger, konfigurerer du PostgreSQL- eller SQL Server-distribusjonen for TLS.
Installasjonsprosessen for hybriddatasikkerhet oppretter en ISO-fil. Deretter bruker du ISO til å konfigurere Hybrid Data Security-verten.
| 1 |
Skriv inn riktig kommando for miljøet på maskinens kommandolinje: I vanlige miljøer: I FedRAMP-miljøer: Dette trinnet rydder opp tidligere HDS-oppsettverktøybilder. Hvis det ikke er noen tidligere bilder, returnerer det en feil som du kan ignorere. |
| 2 |
Hvis du vil logge på Docker-bilderegisteret, skriver du inn følgende: |
| 3 |
Ved passordledeteksten skriver du inn denne hashkoden: |
| 4 |
Last ned det nyeste stabile bildet for miljøet ditt: I vanlige miljøer: I FedRAMP-miljøer: |
| 5 |
Når trekket er fullført, skriver du inn riktig kommando for miljøet ditt:
Når containeren kjører, ser du «Ekspresserverlytting på port 8080.» |
| 6 |
Installasjonsverktøyet støtter ikke tilkobling til localhost via http://localhost:8080. Bruk http://127.0.0.1:8080 for å koble til localhost. Bruk en nettleser til å gå til localhost, Verktøyet bruker denne første oppføringen av brukernavnet for å angi riktig miljø for den kontoen. Verktøyet viser deretter standard påloggingsprompt. |
| 7 |
Når du blir bedt om det, angir du påloggingsinformasjonen for Partner Hub administrator, og klikker deretter Logg på for å gi tilgang til de nødvendige tjenestene for Hybrid Data Security. |
| 8 |
Klikk Komme i gang på oversiktssiden Installasjons verktøy. |
| 9 |
Klikk Ja på ISO-import -siden. |
| 10 |
Velg ISO-filen din i nettleseren og last den opp. Sørg for tilkobling til databasen din for å utføre CMK-administrasjon. |
| 11 |
Gå til fanen Ten ant CMK Management, hvor du finner følgende tre måter å administrere leietaker CMK-er på.
|
| 12 |
Når CMK-opprettelsen er vellykket, endres statusen i tabellen fra CMK-administrasjon i påvente til CM K-administr ert. |
| 13 |
Hvis CMK-opprettelsen mislykkes, vises en feil. |
Fjern leietakerorganisasjoner
Før du begynner
Når de er fjernet, vil brukere av kundeorganisasjoner ikke kunne utnytte HDS for sine krypteringsbehov og vil miste alle eksisterende mellomrom. Før du fjerner kundeorganisasjoner, må du kontakte din Cisco-partner eller kontoansvarlig.
| 1 |
Logg på https://admin.webex.com. |
| 2 |
Velg Tjenester fra menyen til venstre på skjermen. |
| 3 |
I Hybrid-delen finner du Hybrid Data Security og klikker på Vis alle. |
| 4 |
Klikk kategorien Til delte kunder på siden som åpnes. |
| 5 |
Fra listen over kundeorganisasjoner som vises, klikker du |
Hva du skal gjøre videre
Fullfør fjerningsprosessen ved å tilbakekalle CMK-ene til kundeorganisasjonene som beskrevet i Tilbakekall CMK-er for leietakere fjernet fra HDS.
Tilbakekall CMK-er for leietakere fjernet fra HDS.
Før du begynner
Fjern kunder som beskrevet i Fjern leietakerorganisasjoner. Kjør HDS-installasjonsverktøyet for å fullføre fjerningsprosessen for kundeorganisasjonene som ble fjernet.
-
HDS-installasjonsverktøyet kjører som en Docker-beholder på en lokal maskin. For å få tilgang til den, kjør Docker på den maskinen. Installasjonsprosessen krever legitimasjon for en Partner Hub-konto med fullstendige administratorrettigheter for organisasjonen.
Hvis HDS-installasjonsverktøyet kjører bak en proxy i miljøet ditt, må du oppgi proxy-innstillingene (server, port, legitimasjon) gjennom Docker-miljøvariablene når du tar opp Docker-beholderen i trinn 5. Denne tabellen gir noen mulige miljøvariabler:
Beskrivelse
Variabel
HTTP Proxy uten godkjenning
GLOBAL_AGENT_HTTP_PROXY = http://SERVER_IP:PORTHTTPS Proxy uten godkjenning
GLOBAL_AGENT_HTTPS_PROXY= http://SERVER_IP:PORTHTTP Proxy med autentisering
GLOBAL_AGENT_HTTP_PROXY = http://USERNAME:PASSWORD@SERVER_IP:PORTHTTPS Proxy med autentisering
GLOBAL_AGENT_HTTPS_PROXY= http://USERNAME:PASSWORD@SERVER_IP:PORT -
Konfigurasjons-ISO-filen du genererer inneholder hovednøkkelen som krypterer PostgreSQL- eller Microsoft SQL Server-databasen. Du trenger den siste kopien av denne filen når du gjør konfigurasjonsendringer, som disse:
-
Databaselegitimasjon
-
Sertifikatoppdateringer
-
Endringer i autorisasjonspolitikken
-
-
Hvis du planlegger å kryptere databasetilkoblinger, konfigurerer du PostgreSQL- eller SQL Server-distribusjonen for TLS.
Installasjonsprosessen for hybriddatasikkerhet oppretter en ISO-fil. Deretter bruker du ISO til å konfigurere Hybrid Data Security-verten.
| 1 |
Skriv inn riktig kommando for miljøet på maskinens kommandolinje: I vanlige miljøer: I FedRAMP-miljøer: Dette trinnet rydder opp tidligere HDS-oppsettverktøybilder. Hvis det ikke er noen tidligere bilder, returnerer det en feil som du kan ignorere. |
| 2 |
Hvis du vil logge på Docker-bilderegisteret, skriver du inn følgende: |
| 3 |
Ved passordledeteksten skriver du inn denne hashkoden: |
| 4 |
Last ned det nyeste stabile bildet for miljøet ditt: I vanlige miljøer: I FedRAMP-miljøer: |
| 5 |
Når trekket er fullført, skriver du inn riktig kommando for miljøet ditt:
Når containeren kjører, ser du «Ekspresserverlytting på port 8080.» |
| 6 |
Installasjonsverktøyet støtter ikke tilkobling til localhost via http://localhost:8080. Bruk http://127.0.0.1:8080 for å koble til localhost. Bruk en nettleser til å gå til localhost, Verktøyet bruker denne første oppføringen av brukernavnet for å angi riktig miljø for den kontoen. Verktøyet viser deretter standard påloggingsprompt. |
| 7 |
Når du blir bedt om det, angir du påloggingsinformasjonen for Partner Hub administrator, og klikker deretter Logg på for å gi tilgang til de nødvendige tjenestene for Hybrid Data Security. |
| 8 |
Klikk Komme i gang på oversiktssiden Installasjons verktøy. |
| 9 |
Klikk Ja på ISO-import -siden. |
| 10 |
Velg ISO-filen din i nettleseren og last den opp. |
| 11 |
Gå til fanen Ten ant CMK Management, hvor du finner følgende tre måter å administrere leietaker CMK-er på.
|
| 12 |
Når CMK-tilbakekalling er vellykket, vises ikke kundeorganisasjonen lenger i tabellen. |
| 13 |
Hvis CMK-tilbakekalling mislykkes, vises en feil. |
Test distribusjonen av hybriddatasikkerhet
Før du begynner
-
Konfigurer distribusjonen for hybriddatasikkerhet for flere leietakere.
-
Forsikre deg om at du har tilgang til sysloggen for å bekrefte at nøkkelforespørsler sendes til Multi-Tenant Hybrid Data Security-distribusjonen.
| 1 |
Nøkler for et gitt rom er satt av skaperen av rommet. Logg på Webex-appen som en av brukerne av kundeorganisasjonen, og opprett deretter et område. Hvis du deaktiverer hybriddatasikkerhet-distribusjonen, er innhold i mellomrom som brukerne oppretter, ikke lenger tilgjengelig når de klientbufrede kopiene av krypteringsnøklene er erstattet. |
| 2 |
Send meldinger til det nye rommet. |
| 3 |
Kontroller syslog-utdataene for å bekrefte at nøkkelforespørslene sendes til Hybrid Data Security-distribusjonen. Hvis en bruker av en nylig lagt kundeorganisasjon utfører en handling, vises organisasjons-ID-en til organisasjonen i loggene, og dette kan brukes til å bekrefte at organisasjonen utnytter Multi-Tenant HDS. Kontroller verdien av |
Tolke HDS-logger og forstå agentetiketter
HDS-logger gir detaljert informasjon om KMS-forespørsler. Disse loggene inneholder forskjellige felt som hjelper til med å identifisere arten av forespørselen og den tilknyttede identiteten. Å forstå disse feltene er avgjørende for korrekt tolkning av aktiviteter og pålitelige interne operasjoner.
Terminologi
For å sikre klarhet når du gjennomgår HDS-logger, er det viktig å forstå følgende vilkår:
| Begrepet | Definisjon |
|---|---|
| Tjenestekonto | En tjenesteidentitet som gjør at Webex-tjenester kan utføre autoriserte handlinger på en sikker måte. |
| Agent | En tjenesteenhet eller tjenestekontoidentitet som brukes til å utføre automatiserte operasjoner i HDS-miljøet. |
| Agentetikett | En kode som er inkludert i HDS-logger som identifiserer den spesifikke kilden og typen for en innkommende forespørsel, noe som muliggjør effektiv tilgangskontrollrevisjon. |
| Delegert tilgang | En autorisert tjenestekonto som gjør en forespørsel for en bestemt bruker, innenfor brukerens tillatelser. Vises som en delegeringsforespørsel: agent -> brukerid. |
Begrepet «agent» refererer i denne sammenhengen spesifikt til HDS-tjenesteidentiteter. Disse er ikke relatert til AI-drevne agenter som brukes i andre Webex-funksjoner.
En forespørsel serveres bare når den stammer fra:
- en godkjent bruker i organisasjonen, eller
- en tjenestekonto som ligger i, og er autorisert av, organisasjonen din.
Oversikt over loggfelt
| Felt | Hva det representerer |
|---|---|
| Tidsstempel | Dato og klokkeslett for operasjonen. |
| kms.data.metode | KMS-operasjonen utført (f.eks. henting). |
| kms.data.orgld | Organisasjonsidentifikator. |
| KMS.Data.HttpUserAgent | Kunden eller tjenesten som gjør forespørselen. |
| WEBEX_TRACKINGID | Unik sporingsidentifikator for forespørselen. |
| kms.data.uriHost/kms.data.uri | Verten og ressursen målrettet av forespørselen. |
| kms.data.userld | Identiteten som utfører forespørselen, inkludert en agentetikett. |
| kms.response.suksess | Indikerer om forespørselen lyktes. |
Forespørselstyper - Hurtigreferanse
| Tagg i logg | Agentetikett | Hva det representerer | Typiske operasjoner |
|---|---|---|---|
| Brukertype: UserAgent | Brukeragent | En klarert tjenestekonto knyttet til en brukerarbeidsflyt, som er omfattet av organisasjonen din. | Opprette/administrere nøkler for en brukerprosess. |
| o-agent <id>-> bruker-id <id> | Organisasjonsagent | En klarert tjenestekonto på organisasjonsnivået som bruker delegert tilgang. | Compliance Officers utvinning av Webex-data, kalenderintegrasjoner. |
| c-agent <id>-> bruker-id <id> | Skyagent | En Webex-tjeneste som utfører en delegert forespørsel for en bestemt bruker. | Virusskanning, forhåndsvisning av innhold, transkripsjoner. |
| c-agent <id> | Skyagent | En Webex-tjeneste som utfører en delegert forespørsel. | ECDHE/øktnøkler. |
| Sluttbruker UUID | - | Den autentiserte sluttbrukeren som samhandler med HDS. | En bruker som henter sin egen nøkkel. |
Forespørselstyper - I detalj
Agentetiketter kategoriserer kilden til forespørselen og hjelper til med å bestemme passende tilgangskontroller. Følgende eksempler viser flere forespørselstyper og agentetikettene som er knyttet til dem.
-
Brukeragent (UserAgent):
Dette er klarerte Webex-tjenestekontoer knyttet til bestemte brukerarbeidsflyter og er omfattet av kundeorganisasjonen. De brukes vanligvis når en tjeneste oppretter og administrerer nøkler på vegne av en brukerarbeidsflyt.
Eksempellogg:
2026-06-18 10:58:14.405 (+0000) INFO KMS [pool-21-thread-110] - User: b[~]4 User Type: userAgent WEBEX_TRACKINGID=MsftPresence_6[~]9, kms.data.method=create, kms.merc.id=5[~]8, kms.merc.sync=false, kms.data.uriHost=null, kms.data.type=RESOURCE_COLLECTION, kms.data.requestId=b[~]4, kms.data.orgId=null, kms.data.uri=/resources, kms.data.userId=3[~]6, kms.data.httpUserAgent=<Webex service>Nøkkelindikator: Eksempelloggen viser en brukeragent (
UserAgent) somutfører ressursinnsamlingsoperasjoner for en Webex-tjeneste. -
Organisasjonsagent (o-agent):
Disse klarerte Webex-tjenestekontoene er autorisert til å utføre delegerte operasjoner på vegne av brukere i HDS. Tilpasset kundeorganisasjonen utfører disse kontoene operasjoner på organisasjonsnivå. Denne funksjonaliteten støtter flere funksjoner, for eksempel å gjøre det mulig for samsvarsansvarlige å søke og trekke ut Webex-kommunikasjonsdata - noe som sikrer organisatorisk tilpasning til regulerings-, sikkerhets- og personvernstandarder.
Eksempellogg:
2026-06-18 11:24:53.034 (+0000) INFO KMS [pool-19-thread-118] - WEBEX_TRACKINGID=ccc_8[~]c, kms.data.method=retrieve, kms.merc.id=2[~]a, kms.merc.sync=false, kms.data.uriHost=hds2.org5.portun.us, kms.data.type=KEY, kms.data.requestId=1[~]2, kms.data.orgId=null, kms.data.uri=kms://hds2.org5.portun.us/keys/d[~]7, kms.data.userId=o-agent 9[~]c -> userid 4[~]b, kms.data.httpUserAgent=<Webex service>Nøkkelindikator: Eksempelloggen viser en orgagent (
o-agent 9 [~] c) som henter en nøkkel på vegne av brukeren (4 [~] b) for en Webex-tjeneste. - Skyagent (c-agent):
Disse klarerte Webex-tjenestekontoene er autorisert til å utføre operasjoner på HDS via delegert tilgang på vegne av en bruker. De støtter viktige funksjoner - for eksempel opptak etter møtet, transkripsjoner, skanning mot skadelig programvare og forhåndsvisning av filer som forbedrer den generelle brukeropplevelsen.
Mens Cloud Agents kan deaktiveres ved å endre ISO, bør kundene være klar over at dette vil resultere i tap av funksjoner, for eksempel opptak etter møtet, transkripsjoner, forhåndsvisninger av filer og automatisert skanning mot skadelig programvare i Webex App Spaces. Hvis du vil ha mer informasjon, kan du se Deaktiver Cloud Agents -delen.
Eksempellogg:
2026-06-18 11:27:59.388 (+0000) INFO KMS [pool-19-thread-56] - WEBEX_TRACKINGID=CLIENT_2[~]e, kms.data.method=retrieve, kms.merc.id=b[~]c, kms.merc.sync=false, kms.data.uriHost=hds2.org5.portun.us, kms.data.type=KEY, kms.data.requestId=0[~]6, kms.data.orgId=null, kms.data.uri=kms://hds2.org5.portun.us/keys/e[~]e, kms.data.userId=c-agent b[~]c -> userid 9[~]c, kms.data.httpUserAgent=<Webex service>Nøkkelindikator: Eksempelloggen viser en skyagent (
c-agent b [~] c) somhenter en innholdsnøkkel på vegne av brukeren (9 [~] c). -
Sluttbrukerens direkte interaksjon:
En autentisert bruker som samhandler direkte med HDS.
Eksempellogg:
2026-06-18 11:29:39.858 (+0000) INFO KMS [pool-19-thread-141] - kms.data.method=retrieve, kms.merc.id=a[~]d, kms.merc.sync=false, kms.data.orgId=null, kms.data.httpUserAgent=<Webex service>, WEBEX_TRACKINGID=CLIENT_7[~]e, kms.data.uriHost=hds2.org5.portun.us, kms.data.type=KEY, kms.data.requestId=1[~]a, kms.response.destination=https://wdm-a.wbx2.com/wdm/api/v1/devices/1[~]e, kms.response.resourceuri=null, kms.data.uri=kms://hds2.org5.portun.us/keys/b[~]b, kms.data.userId=c[~]f, kms.response.success=trueNøkkelindikator: Eksempelloggen viser en sluttbruker (
c [~] f) somhenter en nøkkel og samhandler direkte med HDS.
Overvåk tilstanden til hybriddatasikkerhet
| 1 |
I Partner Hub velger du T jenester fra menyen til venstre på skjermen. |
| 2 |
I Hybrid-delen finner du Hybrid Data Security og klikker på Rediger innstillinger. Siden Innstillinger for hybriddatasikkerhet vises.
|
| 3 |
I delen E-postvarsler skriver du inn en eller flere e-postadresser atskilt med komma, og trykker på Enter. |
Administrer HDS-distribusjon
Bruk oppgavene som er beskrevet her for å administrere distribusjonen av hybriddatasikkerhet.
Angi klyngeoppgraderingsplan
Slik angir du oppgraderingsplanen:
| 1 |
Logg på Partner Hub. |
| 2 |
Velg Tjenester fra menyen til venstre på skjermen. |
| 3 |
I Hybrid-delen finner du Hybrid Data Security og klikker på Konfigurer |
| 4 |
Velg klyngen på siden Hybrid Data Security Resources. |
| 5 |
Klikk på kategorien Kly ngeinnstillinger. |
| 6 |
Velg tid og tidssone for oppgraderingsplanen under Oppgraderingsplan på siden Klyngeinnstillinger. Merk: Under tidssonen vises neste tilgjengelige oppgraderingsdato og -klokkeslett. Du kan utsette oppgraderingen til neste dag, om nødvendig, ved å klikke Utsett med 24 timer. |
Endre nodekonfigurasjonen
-
Endring av x.509-sertifikater på grunn av utløp eller andre grunner.
Vi støtter ikke endring av CN-domenenavnet til et sertifikat. Domenet må samsvare med det opprinnelige domenet som ble brukt til å registrere klyngen.
-
Oppdaterer databaseinnstillinger for å endre til en kopi av PostgreSQL- eller Microsoft SQL Server-databasen.
Vi støtter ikke migrering av data fra PostgreSQL til Microsoft SQL Server, eller motsatt vei. Hvis du vil bytte databasemiljø, starter du en ny distribusjon av Hybrid Data Security.
-
Opprette en ny konfigurasjon for å forberede et nytt datasenter.
Av sikkerhetshensyn bruker Hybrid Data Security også tjenestekontopassord som har en levetid på ni måneder. Etter at HDS-install asjonsverktøyet genererer disse passordene, distribuerer du dem til hver av HDS-nodene dine i ISO-konfigur asjonsfilen. Når organisasjonens passord nærmer seg utløpet, mottar du et varsel fra Webex-teamet om å tilbakestille passordet for maskinkontoen din. (E-posten inneholder teksten «Bruk maskinkontoens API til å oppdatere passordet.») Hvis passordene dine ikke har utløpt ennå, gir verktøyet deg to alternativer:
-
Myk tilbakes tilling — Både gamle og nye passord fungerer i opptil 10 dager. Bruk denne perioden til å erstatte ISO-filen på nodene gradvis.
-
Hard reset - De gamle passordene slutter å fungere umiddelbart.
Hvis passordene dine utløper uten tilbakestilling, påvirker det HDS-tjenesten din, og krever en øyeblikkelig hard tilbakestilling og utskifting av ISO-filen på alle noder.
Bruk denne prosedyren til å generere en ny konfigurasjons-ISO-fil og bruke den på klyngen din.
Før du begynner
-
HDS-installasjonsverktøyet kjører som en Docker-beholder på en lokal maskin. For å få tilgang til den, kjør Docker på den maskinen. Installasjonsprosessen krever legitimasjonen til en Partner Hub-konto med partnerens fulle administratorrettigheter.
Hvis du ikke har en Docker Desktop-lisens, kan du bruke Podman Desktop til å kjøre HDS-installasjonsverktøyet for trinn 1.a til 1.e i fremgangsmåten nedenfor. Se Kj ør HDS-installasjonsverktøy ved hjelp av Podman Desktop for detaljer.
Hvis HDS-installasjonsverktøyet kjører bak en proxy i miljøet ditt, må du oppgi proxy-innstillingene (server, port, legitimasjon) gjennom Docker-miljø variabler når du tar opp Docker-beholderen i 1.e. Denne tabellen gir noen mulige miljøvariabler:
Beskrivelse
Variabel
HTTP Proxy uten godkjenning
GLOBAL_AGENT_HTTP_PROXY = http://SERVER_IP:PORTHTTPS Proxy uten godkjenning
GLOBAL_AGENT_HTTPS_PROXY= http://SERVER_IP:PORTHTTP Proxy med autentisering
GLOBAL_AGENT_HTTP_PROXY = http://USERNAME:PASSWORD@SERVER_IP:PORTHTTPS Proxy med autentisering
GLOBAL_AGENT_HTTPS_PROXY= http://USERNAME:PASSWORD@SERVER_IP:PORT -
Du trenger en kopi av den gjeldende konfigurasjons-ISO-filen for å generere en ny konfigurasjon. ISO inneholder hovednøkkelen som krypterer PostgreSQL- eller Microsoft SQL Server-databasen. Du trenger ISO når du gjør konfigurasjonsendringer, inkludert databaselegitimasjon, sertifikatoppdateringer eller endringer i autorisasjonspolicyen.
| 1 |
Bruk Docker på en lokal maskin, kjør HDS Setup Tool. |
| 2 |
Hvis du bare har én HDS-node som kjører, oppretter du en ny VM med hybriddatasikkerhetsnode og registrerer den ved hjelp av den nye konfigurasjons-ISO-filen. Hvis du vil ha mer detaljerte instruksjoner, kan du se Opprette og registrere flere noder. |
| 3 |
For eksisterende HDS-noder som kjører den eldre konfigurasjonsfilen, monterer du ISO-filen. Utfør følgende prosedyre på hver node etter tur, oppdater hver node før du slår av neste node:
For VMware-distribusjoner:
For NFVIS- distribusjoner:
For Nutanix-distribusjoner:
|
| 4 |
Gjenta trinn 3 for å erstatte konfigurasjonen på hver gjenværende node som kjører den gamle konfigurasjonen. |
Slå av blokkert ekstern DNS-oppløsningsmodus
Når du registrerer en node eller sjekker nodens proxy-konfigurasjon, tester prosessen DNS-oppslag og tilkobling til Cisco Webex skyen. Hvis nodens DNS-server ikke kan løse offentlige DNS-navn, går noden automatisk i modus for blokkert ekstern DNS-oppløsning.
Hvis nodene dine klarer å løse offentlige DNS-navn via interne DNS-servere, kan du slå av denne modusen ved å kjøre proxy-tilkoblingstesten på nytt på hver node.
Før du begynner
| 1 |
I en nettleser åpner du nodegrensesnittet Hybrid Data Security (IP-adresse/oppsett, for eksempel https://192.0.2.0/setup), angir administratorlegitimasjonen du konfigurerte for noden, og klikker deretter på Log g på. |
| 2 |
Gå til Oversikt (standardsiden). Når den er aktivert, er Blok kert ekstern DNS-oppløsning satt til Ja. |
| 3 |
Gå til Trust Store & Proxy- siden. |
| 4 |
Klikk Kontroller proxy-tilkobling. Hvis du ser en melding om at ekstern DNS-oppløsning ikke var vellykket, kunne ikke noden nå DNS-serveren og vil forbli i denne modusen. Ellers, etter at du har startet noden på nytt og går tilbake til Over sikt-siden, bør blokkert ekstern DNS-oppløsning settes til nei. |
Hva du skal gjøre videre
Fjern en node
| 1 |
Bruk administrasjonsgrensesnittet for hypervisoren i distribusjonen til å finne og slå av den virtuelle HDS-maskinen. |
| 2 |
Fjern noden: |
| 3 |
Bruk administrasjonsgrensesnittet for hypervisoren i distribusjonen, og finn og slett den virtuelle HDS-maskinen. Hvis du ikke sletter VM, må du huske å avmontere konfigurasjons-ISO-filen. Uten ISO-filen kan du ikke bruke VM til å få tilgang til sikkerhetsdataene dine. |
Standby-datasenter for krisegjenoppretting
Under distribusjonen konfigurerer du et sikkert datasenter i ventemodus. I tilfelle et datasenterkatastrofe, kan du manuelt mislykkes med distribusjonen over til standby-datasenteret.
Databasene til de aktive datasentrene og standby-datasentrene er synkronisert med hverandre, noe som vil minimere tiden det tar å utføre failover.
De aktive Hybrid Data Security-nodene må alltid være i samme datasenter som den aktive databaseserveren.
Konfigurere datasenter i ventemodus for krisegjenoppretting
Følg trinnene nedenfor for å konfigurere ISO-filen til standby-datasenteret:
Før du begynner
-
Standby-datasenteret skal speile produksjonsmiljøet til virtuelle maskiner og en sikkerhetskopi av PostgreSQL- eller Microsoft SQL Server-database. Hvis produksjonen for eksempel har 3 virtuelle maskiner som kjører HDS-noder, bør sikkerhetskopimiljøet ha tre virtuelle maskiner. (Se Standby-datasenter for krisegjenoppretting for en oversikt over denne failover-modellen.)
-
Kontroller at databasesynkronisering er aktivert mellom databasen med aktive og passive klyngenoder.
| 1 |
Start HDS-installasjonsverktøyet og følg trinnene som er nevnt i Opprett en konfigurasjons-ISO for HDS-ver tene. ISO-filen må være en kopi av den opprinnelige ISO-filen til det primære datasenteret som følgende konfigurasjonsoppdateringer skal gjøres på. |
| 2 |
Etter å ha konfigurert Syslogd-serveren, klikker du på Avanserte innstillinger |
| 3 |
På siden Avan serte innstillinger legger du til konfigurasjonen nedenfor for å plassere noden i passiv modus. I denne modusen vil noden bli registrert i organisasjonen og koblet til skyen, men vil ikke håndtere trafikk.
|
| 4 |
Fullfør konfigurasjonsprosessen og lagre ISO-filen på et sted som er lett å finne. |
| 5 |
Lag en sikkerhetskopi av ISO-filen på ditt lokale system. Hold sikkerhetskopien sikker. Denne filen inneholder en hovedkrypteringsnøkkel for databasens innhold. Begrens tilgangen til bare de Hybrid Data Security-administratorene som skal gjøre konfigurasjonsendringer. |
| 6 |
Monter konfigurasjons-ISO-filen: Før montering av den nye konfigurasjonen ISO:
For VMware-distribusjoner: For NFVIS-distribusjoner:
For Nutanix-distribusjoner:
|
| 7 |
Slå på HDS-noden og sørg for at det ikke er noen alarmer i minst 15 minutter. |
| 8 |
Gjenta prosessen for hver node i standby-datasenteret. Kontroller syslogs for å bekrefte at nodene er i passiv modus. Du bør kunne se meldingen «KMS konfigurert i passiv modus» i syslogs. |
Hva du skal gjøre videre
Etter å ha konfigur ert PassiveMode i ISO-filen og lagret den, kan du opprette en annen kopi av ISO-filen uten Passi veMode-konfigurasjonen og lagre den på et sikkert sted. Denne kopien av ISO-filen uten PassiveMode konfigurert kan hjelpe i en rask failover-prosess under krisegjenoppretting. Se Dis aster Recovery ved hjelp av Standby-datasenter for detaljert failover-prosedyre.
Krisegjenoppretting ved hjelp av Standby-datasenter
Den mest kritiske tjenesten som Hybrid Data Security-klyngen gir, er opprettelse og lagring av nøkler som brukes til å kryptere meldinger og annet innhold som er lagret i Webex-skyen. For hver bruker i organisasjonen som er tilordnet Hybrid Data Security, sendes nye forespørsler om oppretting av nøkler til klyngen. Klyngen er også ansvarlig for å returnere nøklene som den er opprettet til brukere som er autorisert til å hente dem, for eksempel medlemmer av et samtalerom.
Fordi klyngen utfører den kritiske funksjonen for å levere disse nøklene, er det viktig at klyngen fortsetter å kjøre og at riktige sikkerhetskopier opprettholdes. Tap av Hybrid Data Security-databasen eller av konfigurasjonen ISO som brukes for skjemaet, vil resultere i UGJENOPPRETTELIG TAP av kundeinnhold. Følgende praksis er obligatorisk for å forhindre et slikt tap:
Hvis en katastrofe fører til at HDS-distribusjonen i det primære datasenteret blir utilgjengelig, følger du denne fremgangsmåten for å manuelt failover til standby-datasenteret.
Før du begynner
| 1 |
Start HDS-installasjonsverktøyet og følg trinnene som er nevnt i Opprett en konfigurasjons-ISO for HDS-ver tene. |
| 2 |
Etter å ha konfigurert Syslogd-serveren, klikker du på Avanserte innstillinger |
| 3 |
På siden Avan serte innstillinger legger du til konfigurasjonen nedenfor eller fjerner
|
| 4 |
Fullfør konfigurasjonsprosessen og lagre ISO-filen på et sted som er lett å finne. |
| 5 |
Lag en sikkerhetskopi av ISO-filen på ditt lokale system. Hold sikkerhetskopien sikker. Denne filen inneholder en hovedkrypteringsnøkkel for databasens innhold. Begrens tilgangen til bare de Hybrid Data Security-administratorene som skal gjøre konfigurasjonsendringer. |
| 6 |
Monter konfigurasjons-ISO-filen: Før montering av den nye konfigurasjonen ISO:
For VMware-distribusjoner: For NFVIS-distribusjoner:
For Nutanix-distribusjoner:
|
| 7 |
Slå på HDS-noden og sørg for at det ikke er noen alarmer i minst 15 minutter. |
| 8 |
Gjenta prosessen for hver node i standby-datasenteret. Kontroller syslog-utgangen for å bekrefte at nodene til standby-datasenteret ikke er i passiv modus. «KMS konfigurert i passiv modus» skal ikke vises i syslogs. |
Hva du skal gjøre videre
(Valgfritt) Avmonter ISO etter HDS-konfigurasjon
Standard HDS-konfigurasjon kjører med ISO montert. Men noen kunder foretrekker ikke å forlate ISO-filer kontinuerlig montert. Du kan avmontere ISO-filen etter at alle HDS-noder plukker opp den nye konfigurasjonen.
Du bruker fortsatt ISO-filene til å gjøre konfigurasjonsendringer. Når du oppretter en ny ISO eller oppdaterer en ISO gjennom Setup Tool, må du montere den oppdaterte ISO-en på alle HDS-nodene. Når alle nodene dine har plukket opp konfigurasjonsendringene, kan du avmontere ISO igjen med denne prosedyren.
Før du begynner
Oppgrader alle HDS-noder til versjon 2025.06.02.6983 eller nyere.
|
Fjern konfigurasjons-ISO-filen.
For VMware-distribusjoner:
For NFVIS-distribusjoner:
For Nutanix-distribusjoner:
|
Vis varsler og feilsøking
En hybrid datasikkerhet-distribusjon anses som utilgjengelig hvis alle noder i klyngen ikke er tilgjengelige, eller klyngen fungerer så sakte at det blir bedt om tidsavbrudd. Hvis brukerne ikke kan nå Hybrid Data Security-klyngen, opplever de følgende symptomer:
-
Nye mellomrom kan ikke opprettes (kan ikke opprette nye nøkler)
-
Meldinger og mellomromstitler mislykkes i å dekryptere for:
-
Nye brukere lagt til et mellomrom (kan ikke hente nøkler)
-
Eksisterende brukere i et område som bruker en ny klient (kan ikke hente nøkler)
-
-
Eksisterende brukere i et område vil fortsette å kjøre vellykket så lenge klientene deres har en cache med krypteringsnøklene
Det er viktig at du overvåker Hybrid Data Security-klyngen riktig og adresserer eventuelle varsler omgående for å unngå forstyrrelser i tjenesten.
Varsler
Hvis det er et problem med oppsettet for hybriddatasikkerhet, viser Partner Hub varsler til organisasjonsadministratoren og sender e-post til den konfigurerte e-postadressen. Varslene dekker mange vanlige scenarier.
|
Varsling |
Handling |
|---|---|
|
Lokal databasetilgangsfeil. |
Se etter databasefeil eller problemer med lokalt nettverk. |
|
Lokal databasetilkoblingsfeil. |
Kontroller at databaseserveren er tilgjengelig, og at riktig tjenestekontolegitimasjon ble brukt i nodekonfigurasjonen. |
|
Tilgangsfeil for skytjeneste. |
Kontroller at nodene har tilgang til Webex-serverne som angitt i Eksterne tilkoblingskrav. |
|
Fornyer registrering av skytjeneste. |
Registreringen til skytjenester ble droppet. Fornyelse av registrering pågår. |
|
Skytjenesteregistreringen falt. |
Registrering til skytjenester avsluttet. Tjenesten stenger. |
|
Tjenesten er ikke aktivert ennå. |
Aktiver HDS i Partner Hub. |
|
Konfigurert domene samsvarer ikke med serversertifikatet. |
Kontroller at serversertifikatet samsvarer med det konfigurerte tjenesteaktiveringsdomenet. Den mest sannsynlige årsaken er at sertifikatet CN nylig ble endret og nå er forskjellig fra CN som ble brukt under det første oppsettet. |
|
Kunne ikke autentisere til skytjenester. |
Se etter nøyaktighet og mulig utløp av tjenestekontolegitimasjon. |
|
Kunne ikke åpne den lokale nøkkellagringsfilen. |
Se etter integritet og passordnøyaktighet på lokal nøkkellagringsfil. |
|
Lokalt serversertifikat er ugyldig. |
Kontroller utløpsdatoen for serversertifikatet og bekreft at det ble utstedt av en klarertCertificate Authority. |
|
Kan ikke legge ut beregninger. |
Sjekk lokal nettverkstilgang til eksterne skytjenester. |
|
/media/configdrive/hds-katalogen eksisterer ikke. |
Kontroller ISO-monteringskonfigurasjonen på virtuell vert. Kontroller at ISO-filen eksisterer, at den er konfigurert til å montere ved omstart, og at den monteres vellykket. |
|
Oppsett av leietakerorganisasjon er ikke fullført for organisasjonene som er lagt til |
Fullfør oppsettet ved å opprette CMK-er for nylig tilføyde leietakerorganisasjoner ved hjelp av HDS Setup Tool. |
|
Oppsett av leietakerorganisasjon er ikke fullført for de fjernede organisasjonene |
Fullfør oppsettet ved å tilbakekalle CMK-er for leietakerorganisasjoner som ble fjernet ved hjelp av HDS Setup Tool. |
Feilsøk hybriddatasikkerhet
| 1 |
Logg på Partner Hub. |
| 2 |
Velg Tjenester fra menyen til venstre på skjermen. |
| 3 |
I Hybrid-delen finner du Hybrid Data Security og klikker på Hen delser. |
| 4 |
Gå gjennom hendelseshistorikksiden for eventuelle varsler, og reparer eventuelle elementer du finner der. Se bildet nedenfor for referanse. |
| 5 |
Se gjennom syslog-serverens utdata for aktivitet fra Hybrid Data Security-distribusjonen. Filtrer etter ord som «Advarsel» og «Feil» for å hjelpe deg med feilsøking. |
| 6 |
Kontakt Ciscos kundestø tte. |
HDS-utvikler-API-er
HDS Developer API-er er en måte å hente analyse- og overvåkingsdata på, samt feilsøke HDS-distribusjonene dine gjennom Webex Developer Portal. API-ene er tilgjengelige på https://developer.webex.com/messaging/docs/api/v1/hds.
Kjente problemer for hybrid datasikkerhet
-
Hvis du slår av alle aktive klynger for Hybrid Data Security (ved å slette dem i Partner Hub eller ved å slå av alle noder), mister konfigurasjons-ISO-filen eller mister tilgangen til nøkkellagringsdatabasen, kan Webex App-brukere av kundeorganisasjoner ikke lenger bruke mellomrom under personlisten som ble opprettet med nøkler fra KMS. Vi har for øyeblikket ingen løsning eller løsning for dette problemet, og oppfordrer deg til ikke å stenge HDS-tjenestene dine når de håndterer aktive brukerkontoer.
-
En klient som har en eksisterende ECDH-forbindelse til en KMS opprettholder denne forbindelsen i en tidsperiode (sannsynligvis en time).
Distribuere og konfigurere HDS på NFVIS
Følg prosedyrene nedenfor for å distribuere HDS på en NFVIS-hypervisor. Prosessen inkluderer å installere HDS OVA, sette opp VM, montere konfigurasjons-ISO og verifisere distribusjonen.
Installere HDS Host OVA på NFVIS
Før du begynner
- Fullfør forutsetningene for hybriddatasikkerhet og last ned den nyeste HDS OVA.
Gi nytt navn til filen ved å bruke formatet hd<DD-MMM-YYYY>s-.ova for sporing; for eksempel hds-26-aug-2026.ova. - Opprett HDS-konfigurasjonen ISO og lagre den sikkert. ISO inneholder hovedkrypteringsnøkkelen.
- Samle nodens statiske IP-adresse, delnettmaske, gateway, DNS-server, NTP-server og NFVIS-nettverksnavn.
- Bekreft at du har NFVIS-administratortilgang og tilstrekkelig kapasitet til å tildele minst 4 vCPUer, 8 GB minne og 30 GB lagringsplass per HDS-node.
| 1 |
Logg på NFVIS-grensesnittet og naviger til Konfigurasjon > Virtuell maskin > Bilder > Bil delager. |
| 2 |
Velg LOC AL-alternativet og last opp den omdøpte HDS OVA-filen (for eksempel hds-26-aug-2026.ova). |
| 3 |
Angi VM-arbeidsbelastningstypen til Anrop og VM-typen til ECP/VIDEO MESH, og velg deretter Last opp fil. |
| 4 |
Overvåk opplastingsfremdriften til ferdigstillelse. |
| 5 |
Bekreft at den opplastede OVA er merket som aktiv, og at NFVIS har opprettet den tilknyttede egendefinerte OVA-profilen. |
Konfigurere virtuell hybriddatasikkerhet på NFVIS
| 1 |
Naviger til Konfigurasjon > Distribu er og velg ECP/VIDEO MESH fra Velg VM-menyen. |
| 2 |
Skriv inn et unikt VM-navn, velg det tidligere opplastede HDS-bildet, og velg den tilsvarende egendefinerte OVA-profilen i delen Deployment Details. |
| 3 |
Velg DE PLO Y og vent på vellykket distribusjonsvarsling. |
| 4 |
Naviger til Konfigurasjon > Virtuell maskin > Administrer for å bekrefte at den nye HDS VM er aktiv. |
| 5 |
Gå tilbake til Konfigurasjon > Distribu er, velg HDS VM, og bruk rullegardinlisten Nettverksgrensesnitt til å koble den til ønsket WAN-nettverk. |
| 6 |
Velg DE PLO Y for å bruke nettverkskonfigurasjonsendringene. |
Last opp og monter HDS-konfigurasjons-ISO
| 1 |
Kontroller at ISO-filen for HDS-konfigurasjonen lastes opp til bildelageret via Konfigurasjon > Virtuell maskin > Bilder > Image Repository før du fortsetter. |
| 2 |
Åpne terminalen for HDS VM via Konfigurasjon > Virtuell maskin > Administrer og utfør den første påloggingen ved hjelp av standardopplysningene. Brukernavn: admin
Passord: ciscosystems
|
| 3 |
Endre administratorlegitimasjonen når du blir bedt om det. |
| 4 |
Konfigurer nodens statiske IP-adresse, delnettmaske, gateway, DNS og NTP-innstillinger ved å bruke alternativet Rediger konfigurasjon. |
| 5 |
Slå av HDS VM for å lette monteringsprosessen. |
| 6 |
Åpne VM-handlingsmenyen, velg CD-ROM, og velg HDS-konfigurasjons-ISO for å koble den til VM. |
| 7 |
Slå på VM og kontroller at den starter vellykket med konfigurasjonen ISO montert. |
Hva du skal gjøre videre
Hvis nødvendig, fortsett med Konfigurer noden for proxy-integrering og fortsett deretter til Registrer den første noden i klyng en.
Distribuere og konfigurere HDS på Nutanix
Følg prosedyrene nedenfor for å distribuere HDS på en Nutanix hypervisor. Prosessen inkluderer å installere HDS OVA, sette opp VM, montere konfigurasjons-ISO og verifisere distribusjonen.
Installer HDS Host OVA på Nutanix
Bruk denne fremgangsmåten til å importere HDS OVA-filen til Nutanix.
| 1 |
Last ned den nyeste HDS OVA. |
| 2 |
Gå til Infrastruktur > Beregning > OVA i Prism Central. |
| 3 |
Velg Last opp OVA. |
| 4 |
Velg OVA-kilden og velg målklyngen. |
| 5 |
Gi den opplastede OVA et unikt og gjenkjennelig navn. Inkluder versjonen eller opplastingsdatoen slik at administratorer kan skille den fra eldre OVA-versjoner. |
| 6 |
Fullfør opplastingen. |
| 7 |
Kontroller at Diskformat vises som VMD K i OVA-listen. |
Opprett den hybride datasikkerhets-VM på Nutanix
Bruk denne fremgangsmåten til å opprette den virtuelle HDS-maskinen.
| 1 |
Gå til Infrastruktur > Beregning > OVA i Prism Central. |
| 2 |
Velg den vellykkede opplastede HDS OVA. |
| 3 |
Velg Distribuer som VM. |
| 4 |
Skriv inn et unikt, gjenkjennelig VM-navn og velg målklyngen. |
| 5 |
Kontroller at OVA har fylt ut følgende VM-egenskaper:
|
| 6 |
Klikk på Neste. Ress urs veiviseren åpnes. |
| 7 |
Kontroller at den tilkoblede disken har en størrelse på 30 GB i tabellen Ressurser > Disker. |
| 8 |
Koble til riktig delnett eller VLAN ved å bruke alternativet Legg til delnett, og angi nettverkstilkoblingstilstanden til Tilkoblet. Hvis veiviseren inneholder en tom eller standard nettverksoppføring som viser Ingen nettverk funnet for VM-nettverk, fjerner du oppføringen. Den ugyldige oppføringen kan forhindre at veiviseren fortsetter selv etter at riktig delnett er koblet til. |
| 9 |
Velg UEFI som BIOS-modus og klikk Neste. Administrasjonsveiviseren åpnes. |
| 10 |
La Kategorier være tomme med mindre kategorier er påkrevd av organisasjonen. |
| 11 |
Velg riktig tidssone. |
| 12 |
Velg Ingen tilpasning på Gjestetilpasningskor tet, og klikk Neste. |
| 13 |
Gå gjennom innstillingene og velg Opprett VM. |
Last opp og monter HDS-konfigurasjons-ISO
| 1 |
I Prism Central går du til Infrastruktur > Beregning > VMer. |
| 2 |
Velg den distribuerte HDS VM. Velg Strømoper asjoner > Slå på i kategorien Sammendrag. Vent noen minutter til VM starter opp. |
| 3 |
Klikk Start konsoll. Utfør den første påloggingen ved hjelp av standardopplysningene. Brukernavn: admin
Passord: ciscosystems
|
| 4 |
Endre administratorlegitimasjonen når du blir bedt om det. |
| 5 |
Konfigurer nodens statiske IP-adresse, delnettmaske, gateway, DNS og NTP-innstillinger ved å bruke alternativet Rediger konfigurasjon. |
| 6 |
Slå av HDS VM før du kobler til ISO. Gå til Infrastruktur > Beregning > VMer og velg gjeldende HDS VM. I kategorien Sammendrag velger du Str ømoperasjoner > Slå av og venter til den virtuelle maskinen er helt stoppet. |
| 7 |
Åpne fanen Disker til VM. |
| 8 |
Hvis en gammel konfigurasjons-ISO er vedlagt, velger du bare CD-ROM-oppføringen og klikker Slett. I kategorien Disker, hvis Kilde-feltet er tomt for virtuelle diskoppføringer, merker du de tilsvarende avmerkingsboksene og klikker på Slett. |
| 9 |
Velg Legg ved disk og konfigurer følgende verdier:
|
| 10 |
Lagre konfigurasjonen og bekreft at den nye ISO-en vises som VM-ens vedlagte CD-ROM. |
| 11 |
I kategorien Sammendrag på VM velger du Str ømoperasjoner > Slå på og kontrollerer at det ikke er noen alarmer i minst 15 minutter. |
Hva du skal gjøre videre
Hvis nødvendig, fortsett med Konfigurer noden for proxy-integrering og fortsett deretter til Registrer den første noden i klyng en.
Migrere HDS-noder mellom støttede hypervisorer
Bruk denne fremgangsmåten til å flytte HDS-noder fra én støttet hypervisor til en annen. Eksisterende virtuelle HDS-maskiner migreres ikke direkte mellom hypervisorer. I stedet distribuerer du erstatningsnoder på målhypervisoren og registrerer dem med den eksisterende eller nye HDS-klyngen.
Før du begynner
- Sikkerhetskopier HDS-databasen og gjeldende konfigurasjon ISO.
- Bekreft at målhypervisoren og de virtuelle vertene oppfyller HDS-distribusjonskravene.
- Kontroller at den eksisterende HDS-klyngen er i orden, og at de gjenværende nodene kan fortsette å håndtere trafikk mens du erstatter en node.
- Bestem om hver erstatningsnode skal gjenbruke kildenodens IP-adresse og FQDN eller bruke nye nettverksinnstillinger.
- Bruk gjeldende konfigurasjons-ISO og den eksisterende HDS-databasen for erstatningsnodene.
Hvis flyttingen også endrer det aktive datasenteret, databaseserveren eller HDS-konfigurasjonen, kan du se En dre nodekonfigurasjon og standby-datasenter for krisegjenoppretting før du fortsetter.
| 1 |
Velg én HDS-node på kildehypervisoren som skal erstattes. La alle andre noder kjøre og registreres. |
| 2 |
Forbered nettverkskonfigurasjonen for erstatningsnoden:
Ikke kjør kilde- og erstatningsnodene samtidig hvis de bruker samme nettverkskonfigurasjon. |
| 3 |
Opprett og konfigurer erstatnings-VM på målhypervisoren. Bruk den nyeste HDS OVA og følg gjeldende distribusjonsprosedyrer for den hypervisoren. |
| 4 |
Konfigurer den erstattende VM-ens nettverksinnstillinger i henhold til konfigurasjonen som er valgt i trinn 2. Følg installasjonsinstruksjonene for målhypervisoren. |
| 5 |
Fest gjeldende HDS-konfigurasjon ISO. Hvis distribusjonen bruker en proxy, konfigurerer du proxy- og klareringslageret som beskrevet i Konfigurer HDS-noden for proxy-integrering. |
| 6 |
Registrer erstatningsnoden med den eksisterende klyngen eller en ny klynge. Se Opprette og registrere flere noder. |
| 7 |
Bekreft at erstatningsnoden er sunn, koblet til Webex-skyen og håndterer HDS-trafikk. Løs eventuelle alarmer før du fortsetter. |
| 8 |
Hvis kildenoden fortsatt kjører fordi erstatningen bruker en ny nettverkskonfigurasjon, slår du av og avregistrerer kildenoden. Se Fjern en node. |
| 9 |
Gjenta disse trinnene for hver gjenværende node på kildehypervisoren. Ikke erstatt en annen node før klyngen er sunn. |
| 10 |
Etter at alle erstatningsnoder er stabile og tilbakestilling ikke lenger er nødvendig, sletter du de originale virtuelle maskinene fra kildehypervisoren. Hvis du beholder en original virtuell maskin midlertidig, må du holde den slått av og koble fra konfigurasjons-ISO-en. |
Hva du skal gjøre videre
Etter at du har registrert erstatningsnodene, må du bekrefte at de er sunne og at HDS-distribusjonen håndterer trafikk. Hvis distribusjonen er i orden, fjerner du eventuelle kildenoder som fortsatt er registrert på den opprinnelige hypervisoren. Hvis det er aktuelt, følger du trinnene ovenfor for å erstatte noder i oppsettet for krisegjenoppretting.
Kjør HDS-installasjonsverktøyet ved hjelp av Podman Desktop
Podman er et gratis og åpen kildekode-containeradministrasjonsverktøy som gir en måte å kjøre, administrere og lage containere på. Podman Desktop kan lastes ned fra https://podman-desktop.io/downloads.
-
HDS-installasjonsverktøyet kjører som en Docker-beholder på en lokal maskin. For å få tilgang til den, last ned og kjør Podman på den maskinen. Installasjonsprosessen krever legitim asjon for en Control Hub-konto med fullstendige administratorrettigheter for organisasjonen.
Hvis HDS-installasjonsverktøyet kjører bak en proxy i miljøet ditt, må du oppgi proxy-innstillingene (server, port, legitimasjon) gjennom Docker-miljøvariabler når du tar opp Docker-beholderen i trinn 5. Denne tabellen gir noen mulige miljøvariabler:
Beskrivelse
Variabel
HTTP Proxy uten godkjenning
GLOBAL_AGENT_HTTP_PROXY = http://SERVER_IP:PORTHTTPS Proxy uten godkjenning
GLOBAL_AGENT_HTTPS_PROXY= http://SERVER_IP:PORTHTTP Proxy med autentisering
GLOBAL_AGENT_HTTP_PROXY = http://USERNAME:PASSWORD@SERVER_IP:PORTHTTPS Proxy med autentisering
GLOBAL_AGENT_HTTPS_PROXY= http://USERNAME:PASSWORD@SERVER_IP:PORT -
Konfigurasjons-ISO-filen du genererer inneholder hovednøkkelen som krypterer PostgreSQL- eller Microsoft SQL Server-databasen. Du trenger den siste kopien av denne filen når du gjør konfigurasjonsendringer, som disse:
-
Databaselegitimasjon
-
Sertifikatoppdateringer
-
Endringer i autorisasjonspolitikken
-
-
Hvis du planlegger å kryptere databasetilkoblinger, konfigurerer du PostgreSQL- eller SQL Server-distribusjonen for TLS.
Installasjonsprosessen for hybriddatasikkerhet oppretter en ISO-fil. Deretter bruker du ISO til å konfigurere Hybrid Data Security-verten.
| 1 |
Skriv inn riktig kommando for miljøet på maskinens kommandolinje: I vanlige miljøer: I FedRAMP-miljøer: Dette trinnet rydder opp tidligere HDS-oppsettverktøybilder. Hvis det ikke er noen tidligere bilder, returnerer det en feil som du kan ignorere. |
| 2 |
Hvis du vil logge på Docker-bilderegisteret, skriver du inn følgende: |
| 3 |
Ved passordledeteksten skriver du inn denne hashkoden: |
| 4 |
Last ned det nyeste stabile bildet for miljøet ditt: I vanlige miljøer: I FedRAMP-miljøer: |
| 5 |
Når trekket er fullført, skriver du inn riktig kommando for miljøet ditt:
Når containeren kjører, ser du «Ekspresserverlytting på port 8080.» Installasjonsverktøyet støtter ikke tilkobling til localhost via http://localhost:8080. Bruk http://127.0.0.1:8080 for å koble til localhost. |
Hva du skal gjøre videre
Deaktiver Cloud Agents
Cloud Agents (c-agent) er klarerte Webex-tjenestekontoer som utfører operasjoner på HDS via delegert tilgang på vegne av en bruker for å forbedre den generelle brukeropplevelsen. Deaktivering av Cloud Agents blokkerer Webex-tjenester fra å få tilgang til lokale HDS-nøkler.
Deaktivering av skyagenter vil resultere i tap av funksjoner som opptak etter møtet, transkripsjoner, forhåndsvisninger av filer og automatisert skanning mot skadelig programvare i Webex App Spaces.
Følg trinnene nedenfor for å deaktivere skyagenter for HDS-distribusjonen.
| 1 |
Start HDS-installasjonsverktøyet og følg trinnene som er nevnt i Opprett en konfigurasjons-ISO for HDS-ver tene. ISO-filen må være en kopi av den opprinnelige ISO-filen til det primære datasenteret som følgende konfigurasjonsoppdateringer skal gjøres på. |
| 2 |
Etter å ha konfigurert Syslogd-serveren, klikker du på Avanserte innstillinger. |
| 3 |
På siden Avan serte innstillinger legger du til konfigurasjonen nedenfor for å deaktivere skyagenter. Dette vil sikre at skyagenter ikke har lov til å håndtere HDS-trafikk.
|
| 4 |
Fullfør konfigurasjonsprosessen og lagre ISO-filen på et sted som er lett å finne. |
| 5 |
Lag en sikkerhetskopi av ISO-filen på ditt lokale system. Hold sikkerhetskopien sikker. Denne filen inneholder en hovedkrypteringsnøkkel for databasens innhold. Begrens tilgangen til bare de Hybrid Data Security-administratorene som skal gjøre konfigurasjonsendringer. |
| 6 |
Monter konfigurasjons-ISO-filen: Før montering av den nye konfigurasjonen ISO:
For VMware-distribusjoner: For NFVIS-distribusjoner:
For Nutanix-distribusjoner:
|
| 7 |
Slå på HDS-noden og sørg for at det ikke er noen alarmer i minst 15 minutter. |
| 8 |
Gjenta prosessen for hver node i HDS-distribusjonen. Kontroller at Cloud Agents er deaktivert ved å sjekke syslogs for følgende oppføring: «Cloud Agent-oppdatering deaktivert». |
Flytt eksisterende HDS-distribusjon for én leietaker av en partnerorganisasjon i Control Hub til et HDS-oppsett for flere leietakere i Partner Hub
Konverteringen fra en eksisterende HDS-distribusjon med én leietaker av en partnerorganisasjon administrert i Control Hub til en HDS-distribusjon for flere leietakere administrert i Partner Hub innebærer først og fremst å deaktivere HDS-tjenesten i Control Hub, avregistrere noder og slette klyngen. Deretter kan du logge på Partner Hub, registrere nodene, aktivere Multi-Tenant HDS og legge til kunder i klyngen din.
Begrepet «enkeltleietaker» refererer ganske enkelt til en eksisterende HDS-distribusjon i Control Hub.
Deaktiver HDS, avregistrer noder og slett alle klynger i Control Hub
| 1 |
Logg inn på Control Hub. Klikk Hybrid i venstre rute. Klikk på Rediger innstillinger på Hybrid Data Security-kortet. |
| 2 |
På innstillingssiden ruller du ned til delen Deaktiver og klikker på Deaktiver. |
| 3 |
Etter deaktivering klikker du på kategorien Ress ur ser. |
| 4 |
R essur ser-siden viser klynger i HDS-distribusjonen. Klikk på en klynge, en side åpnes med alle noder under den klyngen. |
| 5 |
Klikk |
| 6 |
Hvis distribusjonen har flere klynger, gjentar du trinn 4 og trinn 5 til alle noder er avregistrert. |
| 7 |
Klikk K lyngeinnstillinger > Fjern. |
| 8 |
Klikk Bekreft fjerning for å avregistrere klyngen. |
| 9 |
Gjenta prosessen for alle klynger i HDS-distribusjonen. Etter HDS-deaktivering, avregistrering av noder og fjerning av klynger vises nederst på Hybrid Data Service-kortet på Control Hub. |
Aktiver Multi-Tenant HDS for partnerorganisasjonen på Partner Hub og legg til kunder
Før du begynner
Alle forutsetningene nevnt i K rav til hybriddatasikkerhet med flere leietakere gjelder her. I tillegg må du sørge for at den samme databasen og sertifikatene brukes under flyttingen til Multi-Tenant HDS.
| 1 |
Logg inn på Partner Hub. Klikk Tjenester i venstre rute. Bruk samme ISO fra forrige HDS-distribusjon for å konfigurere nodene. Dette vil sikre at meldinger og innhold generert av brukerne i den forrige eksisterende HDS-distribusjonen fremdeles er tilgjengelig i det nye Multi-Tenant-oppsettet. |
| 2 |
I Hybrid-delen finner du Hybrid Data Security-kort og klikker på Konfigurer. |
| 3 |
Klikk Legg til en ressurs på siden som åpnes. |
| 4 |
I det første feltet i Oppre tt et klyng ekort skriver du inn et navn på klyngen du vil tilordne Hybrid Data Security-noden til. Vi anbefaler at du navngir en klynge basert på hvor nodene i klyngen befinner seg geografisk. Eksempler: «San Francisco» eller «New York» eller «Dallas» |
| 5 |
I det andre feltet skriver du inn den interne IP-adressen eller fullt kvalifisert domenenavn (FQDN) til noden din og klikker Legg til nederst på skjermen. Denne IP-adressen eller FQDN skal samsvare med IP-adressen eller vertsnavnet og domenet du brukte i Konfigurere virtuell hybriddatasikkerhet. En melding vises som indikerer at du kan registrere noden din til Webex.
|
| 6 |
Klikk på Gå til node. Etter noen øyeblikk blir du omdirigert til nodetilkoblingstestene for Webex-tjenester. Hvis alle testene er vellykkede, vises siden Tillat tilgang til hybrid datasikkerhetsnode. Der bekrefter du at du vil gi tillatelser til Webex-organisasjonen din for å få tilgang til noden din. |
| 7 |
Merk av for Tillat tilgang til din hybride datasikkerhetsnode, og klikk deretter Fortsett. Kontoen din er validert, og meldingen «Registrering fullført» indikerer at noden din nå er registrert i Webex-skyen. På siden Hybrid Data Security vises den nye klyngen som inneholder noden du registrerte under kategorien Ress ur ser. Noden laster automatisk ned den nyeste programvaren fra skyen.
|
| 8 |
Gå til Inn stilling er-fanen, og klikk Akti ver på HDS-statuskortet.
Aktivert HDS- melding vises nederst på skjermen.
|
| 9 |
Klikk på fanen Tildelte kunder. |
| 10 |
Klikk på Legg til kunder. |
| 11 |
Velg kunden du vil legge til fra rullegardinmenyen. |
| 12 |
Klikk Legg til, kunden blir lagt til klyngen. |
| 13 |
Gjenta trinn 11 til 13 for å legge til flere kunder i klyngen. |
| 14 |
Klikk på Ferdig nederst på skjermen når du har lagt til kundene. |
Hva du skal gjøre videre
Bruk OpenSSL til å generere en PKCS12-fil
Før du begynner
-
OpenSSL er et verktøy som kan brukes til å lage PKCS12-filen i riktig format for lasting i HDS Setup Tool. Det er andre måter å gjøre dette på, og vi støtter ikke eller markedsfører en vei fremfor en annen.
-
Hvis du velger å bruke OpenSSL, gir vi denne prosedyren som en retningslinje for å hjelpe deg med å opprette en fil som oppfyller X.509-sertifikatkravene i X.509-sertifikatkrav. Forstå disse kravene før du fortsetter.
-
Installer OpenSSL i et støttet miljø. Se https://www.openssl.org for programvare og dokumentasjon.
-
Opprett en privat nøkkel.
-
Start denne prosedyren når du mottar serversertifikatet fra din Certificate Authority (CA).
| 1 |
Når du mottar serversertifikatet fra CA, lagrer du det som |
| 2 |
Vis sertifikatet som tekst, og bekreft detaljene.
|
| 3 |
Bruk et tekstredigeringsprogram til å opprette en sertifikatpakkefil kalt
|
| 4 |
|
| 5 |
Kontroller serversertifikatdetaljene. |
Hva du skal gjøre videre
Gå tilbake til Fullfør forutsetningene for hybrid datasikkerhet. Du vil bruke hdsnode.p12- filen,
og passordet du har angitt for den, i Opprett en konfigurasjons-ISO for HDS-vertene.
Du kan bruke disse filene på nytt for å be om et nytt sertifikat når det opprinnelige sertifikatet utløper.
Trafikk mellom HDS-nodene og skyen
Trafikk for innsamling av utgående beregninger
Hybrid Data Security-nodene sender visse beregninger til Webex-skyen. Disse inkluderer systemberegninger for haug maks, bunke brukt, CPU-belastning og trådantall; beregninger på synkrone og asynkrone tråder; beregninger for varsler som involverer en terskel for krypteringstilkoblinger, ventetid, eller en forespørselskølengde; beregninger på datalageret; og beregninger for krypteringstilkobling. Nodene sender kryptert nøkkelmateriale over en kanal utenfor båndet (atskilt fra forespørselen).
Inngående trafikk
Hybrid Data Security-nodene mottar følgende typer innkommende trafikk fra Webex-skyen:
-
Krypteringsforespørsler fra klienter, som rutes av krypteringstjenesten
-
Oppgraderinger til nodeprogramvaren
Konfigurer Squid-proxyer for hybrid datasikkerhet
Websocket kan ikke koble til via Squid Proxy
Squid-proxyer som inspiserer HTTPS-trafikk kan forstyrre etableringen av websocket (wss:) -tilkoblinger som Hybrid Data Security krever. Disse seksjonene gir veiledning om hvordan du konfigurerer forskjellige versjoner av Squid til å ignorere wss: trafikk for riktig drift av tjenestene.
Blekksprut 4 og 5
Legg til direktivet on_unsupported_protocol til squid.conf:
on_unsupported_protocol tunnel allBlekksprut 3.5.27
Vi har testet Hybrid Data Security med følgende regler lagt til squid .conf. Disse reglene kan endres når vi utvikler funksjoner og oppdaterer Webex-skyen.
acl wssMercuryConnection ssl::server_name_regex mercury-connection
ssl_bump splice wssMercuryConnection
acl step1 at_step SslBump1
acl step2 at_step SslBump2
acl step3 at_step SslBump3
ssl_bump peek step1 all
ssl_bump stare step2 all
ssl_bump bump step3 allOppgaveflyt for HDS-deaktivering av flere leietakere
Følg disse trinnene for å deaktivere Multi-Tenant HDS fullstendig.
Før du begynner
| 1 |
Fjern alle kunder fra alle klyngene dine, som nevnt i Fjern leietakerorganisasjoner. |
| 2 |
Tilbakekall CMK-ene til alle kunder, som nevnt i Tilbakekall CMK-er for leietakere fjernet fra HDS. . |
| 3 |
Fjern alle noder fra alle klyngene dine, som nevnt i Fjern en node. |
| 4 |
Slett alle klyngene dine fra Partner Hub ved å bruke en av følgende to metoder.
|
| 5 |
Klikk på Inn stilling er-fanen på oversiktssiden Hybrid Data Security og klikk Deaktiver HDS på HDS-statuskortet. |
Ofte stilte spørsmål
Q. Er CMK-ene og hovednøkkelen lagret i ISO eller databasen?
A. Kundens hovednøkler (CMK) lagres i databasen og krypteres med hovednøkkelen, som er lagret i ISO.
Spørsmål: Brukes én nøkkel til å kryptere alle data fra kundeorganisasjoner?
A. Nei. Hver kundeorganisasjons data er kryptert med sin egen CMK (Customer Main Key).
Spørsmål: Hva skjer hvis jeg deaktiverer HDS fra Partner Hub?
Svar: Noen operasjoner, som å opprette et rom og planlegge møter, vil bli påvirket umiddelbart. Eksisterende innhold i mellomrom vil være tilgjengelig til den lokale hurtigbufferen utløper. Etter 24 timer vil brukere administrert av partneren bytte til Cloud KMS, og det kan oppstå problemer med tidligere opprettede områder og en-til-en-områder.
Spørsmål: Når CMK er generert for en kundeorganisasjon gjennom HDS-oppsettverktøyet, begynner brukerne av kundeorganisasjonen umiddelbart å utnytte Multi-Tenant HDS?
Svar: Det kan være en maksimal forsinkelse på 24 timer før skybufferen oppdateres.
Spørsmål: Hvorfor ser jeg ikke en liste over kunder når jeg klikker på «Legg til kunder» -knappen i Partner Hub?
Svar: Dette betyr vanligvis at det ikke er noen kundeorganisasjoner som oppfyller Cisco Webexlisenskravene.
Spørsmål: Hva er virkningen hvis alle HDS-noder slås av, eller hvis et nettverksproblem påvirker alle HDS-noder?
A. Operasjoner som oppretting av rom og planlegging av møter påvirkes umiddelbart. Eksisterende innhold er bare tilgjengelig til den lokale hurtigbufferen utløper.
Spørsmål: Er partnerorganisasjonens brukerdata kryptert med hovednøkkelen som ble generert under opprettelsen av ISO?
A. Ja. Foreløpig er partnerorganisasjonens brukerdata kryptert med hovednøkkelen. I fremtiden vil partnerorganisasjoner ha partnerspesifikke nøkler, i likhet med kunde-CMK-er.
Spørsmål: Kan partnerorganisasjonen og leietakerorganisasjonene være i forskjellige regioner (for eksempel USA og EU)?
A. Ja. Partner- og leietakerorganisasjoner kan være lokalisert i forskjellige geografiske regioner.
Spørsmål: Er det noen mekanisme for å flytte nøkler tilbake til Cloud KMS?
Svar: Det er ingen mekanisme for å flytte nøkler tilbake til skyen etter en HDS-distribusjon.
Spørsmål: Kan en partner fortsette å bruke Cloud KMS og bruke Multi-Tenant HDS utelukkende til å administrere kunder?
Svar: Nei, dette støttes ikke for øyeblikket. Støtte for denne funksjonaliteten er planlagt for fremtiden.
Spørsmål: Hvordan kan en partner bekrefte at organisasjonen deres bruker Multi-Tenant HDS for kryptering?
A. Logg inn på Partner Hub. Gå til T jenester > Hybrid datasikkerhet > Innstillinger. Hvis HDS-status er aktivert, bruker brukere av partnerorganisasjonen så vel som tildelte kunder Multi-Tenant HDS.
Alternativt kan du sjekke syslogs for å bekrefte at HDS er aktivert. Se Test distribusjonen av hybriddatasikkerhet.
Spørsmål: Er det et alternativ til Docker Desktop for å kjøre HDS Setup-verktøyet?
A. Ja. Pod man Desktop er et åpen kildekode-alternativ til Docker Desktop. Se Kj ør HDS-installasjonsverktøy ved hjelp av Podman Desktop.
Spørsmål: Hvor mange noder kan jeg distribuere i en HDS-klynge med flere leietakere?
Svar: Vi anbefaler minimum to noder og maksimalt 1000.
Spørsmål: Hva er nettverkskravene som trengs for å konfigurere Multi-Tenant HDS?
A. Se Krav til ekstern tilkobling.
Spørsmål: Er Pro Pack for Control Hub et krav for partnerorganisasjoner?
A. Nei. Pro Pack er ikke et krav for partnerorganisasjoner. Kontakt Cisco-partneren eller kontoadministratoren din for å få hjelp til å konfigurere Multi-Tenant HDS.
Spørsmål: Støttes HSM i Multi-Tenant HDS?
Svar: Nei, for øyeblikket støtter Multi-Tenant HDS ikke HSM.
Spørsmål: Kan jeg teste Multi-Tenant HDS med et selvsignert sertifikat?
A. Nei. Multi-Tenant HDS krever et sertifikat hentet fra en klarert CA som oppfyller alle kravene nevnt i X.509- sertifikatkrav.
Spørsmål: Er det nødvendig å montere ISO hver gang en ny kunde legges til i Partner Hub?
A. Nei. ISO trenger bare å monteres når du endrer ISO-konfigurasjoner. Når du legger til en ny kunde i Partner Hub, må du sørge for at du kan opprette CMK-er ved hjelp av HDS Setup Tool. Se Opprette kundehovednøkler (CMK-er) ved hjelp av HDS-oppsettverktøyet.
Spørsmål: Etter at Multi-Tenant HDS er distribuert på Partner Hub, begynner brukere av partnerorganisasjonen å utnytte lokal KMS for nøkkeladministrasjon?
Svar: Brukere begynner å bruke lokal KMS for nøkkeladministrasjon først etter at HDS er aktivert i Partner Hub.
Ny og endret informasjon
Ny og endret informasjon
Denne tabellen dekker nye funksjoner eller funksjonalitet, endringer i eksisterende innhold og eventuelle store feil som ble løst i distribusjonsveiledningen for hybriddatasikkerhet for flere leietakere.
|
Dato |
Endringer gjort |
|---|---|
|
13. desember 2024 |
Første utgivelse. |
Deaktivere hybriddatasikkerhet for flere leietakere
Oppgaveflyt for deaktivering av HDS for flere leietakere
Følg disse trinnene for å deaktivere HDS for flere leietakere fullstendig.
Før du begynner
| 1 |
Fjern alle kunder fra alle klyngene dine, som nevnt i Fjern leietakerorganisasjoner. |
| 2 |
Tilbakekall CMK-er for alle kunder, som nevnt i Tilbakekall CMK-er for leiere som er fjernet fra HDS.. |
| 3 |
Fjern alle noder fra alle klyngene dine, som nevnt i Fjern en node. |
| 4 |
Slett alle klyngene dine fra Partner Hub ved hjelp av én av følgende to metoder.
|
| 5 |
Klikk på fanen Innstillinger på oversiktssiden for hybriddatasikkerhet, og klikk på Deaktiver HDS på HDS-statuskortet. |
Kom i gang med hybriddatasikkerhet for flere leietakere
Oversikt over hybriddatasikkerhet for flere leietakere
Fra dag én har datasikkerhet vært hovedfokuset i utformingen av Webex-appen. Hjørnesteinen i denne sikkerheten er innholdskryptering fra ende-til-ende, aktivert av Webex-appklienter som samhandler med Key Management Service (KMS). KMS er ansvarlig for å opprette og administrere kryptografiske nøkler som klienter bruker til dynamisk kryptering og dekryptering av meldinger og filer.
Som standard får alle Webex-appkunder ende-til-ende-kryptering med dynamiske nøkler lagret i skyen KMS, i Ciscos sikkerhetsområde. Hybrid Data Security flytter KMS og andre sikkerhetsrelaterte funksjoner til bedriftens datasenter, så ingen andre enn deg har nøklene til ditt krypterte innhold.
Hybriddatasikkerhet med flere leietakere gjør det mulig for organisasjoner å utnytte HDS gjennom en klarert lokal partner, som kan fungere som tjenesteleverandør og administrere lokal kryptering og andre sikkerhetstjenester. Dette oppsettet gjør det mulig for partnerorganisasjonen å ha full kontroll over distribusjon og administrasjon av krypteringsnøkler og sikrer at brukerdata fra kundeorganisasjoner er trygge mot ekstern tilgang. Partnerorganisasjoner setter opp HDS-forekomster og oppretter HDS-klynger etter behov. Hver forekomst kan støtte flere kundeorganisasjoner i motsetning til en vanlig HDS-distribusjon som er begrenset til én enkelt organisasjon.
Dette gjør det også mulig for mindre organisasjoner å utnytte HDS, siden tjeneste for nøkkeladministrasjon og sikkerhetsinfrastruktur som datasentre eies av den klarerte lokale partneren.
Hvordan hybriddatasikkerhet for flere leietakere gir datasuverenitet og datakontroll
- Brukergenerert innhold er beskyttet mot ekstern tilgang, for eksempel skytjenesteleverandører.
- Lokale klarerte partnere administrerer krypteringsnøklene til kunder de allerede har etablert relasjoner med.
- Alternativ for lokal teknisk støtte, hvis den leveres av partneren.
- Støtter innhold i møter, meldinger og anrop.
Dette dokumentet er ment å hjelpe partnerorganisasjoner med å konfigurere og administrere kunder under et hybriddatasikkerhetssystem for flere leietakere.
Roller i hybriddatasikkerhet for flere leietakere
- Fullstendig partneradministrator – Kan administrere innstillinger for alle kunder som partneren administrerer. Kan også tilordne administratorroller til eksisterende brukere i organisasjonen og tilordne bestemte kunder som skal administreres av partneradministratorer.
- Partneradministrator – Kan administrere innstillinger for kunder som administratoren har klargjort, eller som er tilordnet brukeren.
- Fullverdig administrator – Administrator for partnerorganisasjonen som er autorisert til å utføre oppgaver som å endre organisasjonsinnstillinger, administrere lisenser og tilordne roller.
- Oppsett og administrasjon av HDS med flere leietakere fra ende til ende for alle kundeorganisasjoner – fullstendig partneradministrator og fullstendige administratorrettigheter kreves.
- Administrasjon av tilordnede leietakerorganisasjoner – Partneradministrator og fullstendige administratorrettigheter kreves.
Sikkerhetsområde arkitektur
Webex-skyarkitekturen skiller forskjellige typer tjenester inn i separate områder, eller klareringsdomener, som vist nedenfor.
For å forstå hybrid datasikkerhet ytterligere, la oss først se på dette rene skytilfellet, der Cisco leverer alle funksjonene i sine skyområder. Identitetstjenesten, det eneste stedet der brukere kan være direkte korrelert med sine personopplysninger, for eksempel e-postadresse, er logisk og fysisk adskilt fra sikkerhetsområdet i datasenter B. Begge er i sin tur adskilt fra området der kryptert innhold lagres, i datasenter C.
I dette diagrammet er klienten Webex-appen som kjører på en brukers bærbare datamaskin, og er godkjent med identitetstjenesten. Når brukeren skriver en melding som skal sendes til et område, utføres følgende trinn:
-
Klienten oppretter en sikker tilkobling til nøkkeladministrasjonstjenesten (KMS), og ber deretter om en nøkkel for å kryptere meldingen. Den sikre tilkoblingen bruker ECDH, og KMS krypterer nøkkelen ved hjelp av en hovednøkkel AES-256.
-
Meldingen krypteres før den forlater klienten. Klienten sender det til indekseringstjenesten, som oppretter krypterte søkeindekser for å hjelpe i fremtidige søk etter innholdet.
-
Den krypterte meldingen sendes til samsvarstjenesten for kontroll av samsvar.
-
Den krypterte meldingen lagres i lagringsområdet.
Når du distribuerer hybrid datasikkerhet, flytter du sikkerhetsområdefunksjonene (KMS, indeksering og samsvar) til det lokale datasenteret. De andre skytjenestene som utgjør Webex (inkludert identitets- og innholdslagring) forblir i Ciscos områder.
Samarbeide med andre organisasjoner
Brukere i organisasjonen kan regelmessig bruke Webex-appen til å samarbeide med eksterne deltakere i andre organisasjoner. Når en av brukerne ber om en nøkkel for et område som eies av organisasjonen din (fordi det ble opprettet av en av brukerne), sender KMS nøkkelen til klienten via en ECDH-sikret kanal. Når en annen organisasjon eier nøkkelen for området, sender KMS imidlertid forespørselen ut til Webex-skyen via en egen ECDH-kanal for å hente nøkkelen fra den aktuelle KMS, og returnerer deretter nøkkelen til brukeren din på den opprinnelige kanalen.
KMS-tjenesten som kjører på Org A, validerer tilkoblingene til KMS i andre organisasjoner ved hjelp av x.509 PKI-sertifikater. Se Forbered miljøet hvis du vil ha mer informasjon om hvordan du genererer et x.509-sertifikat som skal brukes med distribusjonen av hybriddatasikkerhet for flere leietakere.
Forventninger til distribusjon av hybrid datasikkerhet
En distribusjon av hybrid datasikkerhet krever betydelig forpliktelse og bevissthet om risikoene som følger med å eie krypteringsnøkler.
For å distribuere hybrid datasikkerhet må du oppgi:
-
Et sikkert datasenter i et land som er et støttet sted for Cisco Webex Teams-planene.
-
Utstyret, programvaren og nettverkstilgangen som er beskrevet i Forbered miljøet.
Fullstendig tap av enten konfigurasjons-ISO-en du bygger for hybriddatasikkerhet eller databasen du leverer, vil føre til tap av nøklene. Nøkkeltap hindrer brukere i å dekryptere områdeinnhold og andre krypterte data i Webex-appen. Hvis dette skjer, kan du bygge en ny distribusjon, men bare nytt innhold vil være synlig. For å unngå tap av tilgang til data må du:
-
Administrer sikkerhetskopiering og gjenoppretting av databasen og konfigurasjons-ISO.
-
Vær forberedt på å utføre rask katastrofegjenoppretting hvis en katastrofe oppstår, for eksempel databasediskfeil eller datasenterkatastrofe.
Det finnes ingen mekanisme for å flytte nøkler tilbake til skyen etter en HDS-distribusjon.
Oppsettsprosess på høyt nivå
Dette dokumentet dekker oppsettet og administrasjonen av en distribusjon av hybriddatasikkerhet for flere leietakere:
-
Konfigurere hybrid datasikkerhet – Dette inkluderer klargjøring av nødvendig infrastruktur og installering av hybrid datasikkerhetsprogramvare, bygging av en HDS-klynge, tillegging av leierorganisasjoner i klyngen og administrasjon av kundens hovednøkler (CMK-er). Dette vil gjøre det mulig for alle brukere i kundeorganisasjonene dine å bruke den hybride datasikkerhetsklyngen til sikkerhetsfunksjoner.
Installasjons-, aktiverings- og administrasjonsfasene er beskrevet i detalj i de neste tre kapitlene.
-
Oppretthold distribusjonen av hybrid datasikkerhet – Webex-skyen gir automatisk pågående oppgraderinger. IT-avdelingen din kan gi støtte på nivå én for denne distribusjonen, og engasjere Cisco-støtte etter behov. Du kan bruke varsler på skjermen og konfigurere e-postbaserte varsler i Partner Hub.
-
Forstå vanlige varsler, feilsøkingstrinn og kjente problemer– Hvis du har problemer med å distribuere eller bruke hybriddatasikkerhet, kan det siste kapitlet i denne veiledningen og vedlegget Kjente problemer hjelpe deg med å finne og løse problemet.
Distribusjonsmodell for hybrid datasikkerhet
I bedriftens datasenter distribuerer du hybrid datasikkerhet som én klynge med noder på separate virtuelle verter. Nodene kommuniserer med Webex-skyen via sikre websockets og sikre HTTP.
Under installasjonsprosessen gir vi deg OVA-filen for å konfigurere det virtuelle apparatet på VM-ene du leverer. Du bruker HDS-installasjonsverktøyet til å opprette en egendefinert ISO-fil for klyngekonfigurasjon som du monterer på hver node. Den hybride datasikkerhetsklyngen bruker den oppgitte Syslogd-serveren og PostgreSQL- eller Microsoft SQL Server-databasen. (Du konfigurerer Syslogd- og databasetilkoblingsdetaljene i HDS-installasjonsverktøyet.)
Minimum antall noder du kan ha i en klynge, er to. Vi anbefaler minst tre per klynge. Å ha flere noder sikrer at tjenesten ikke avbrytes under en programvareoppgradering eller annen vedlikeholdsaktivitet på en node. (Webex-skyen oppgraderer bare én node om gangen.)
Alle noder i en klynge får tilgang til samme nøkkeldatalager og loggaktivitet til samme syslog-server. Nodene selv er statsløse, og håndterer nøkkelforespørsler på rund-robin-modus, som styres av skyen.
Noder blir aktive når du registrerer dem i Partner Hub. Hvis du vil ta en individuell node ut av drift, kan du avregistrere den og senere registrere den på nytt om nødvendig.
Standby Data Center for katastrofegjenoppretting
Under distribusjonen setter du opp et sikkert standbydatasenter. I tilfelle en datasenterkatastrofe, kan du manuelt mislykkes distribusjonen til standbydatasenteret.
Databasene til de aktive datasentrene og standbydatasentrene er synkronisert med hverandre, noe som vil minimere tiden det tar å utføre failover.
De aktive nodene for hybriddatasikkerhet må alltid være i samme datasenter som den aktive databaseserveren.
Proxy-støtte
Hybrid Data Security støtter eksplisitte, gjennomsiktige inspeksjons- og ikke-inspeksjons-proxyer. Du kan knytte disse proxyene til distribusjonen slik at du kan sikre og overvåke trafikk fra bedriften og ut til skyen. Du kan bruke et plattformadministratorgrensesnitt på nodene for sertifikatadministrasjon og for å kontrollere den generelle tilkoblingsstatusen etter at du har konfigurert proxyen på nodene.
Nodene for hybriddatasikkerhet støtter følgende proxy-alternativer:
-
Ingen proxy – Standard hvis du ikke bruker HDS-nodeoppsettet Trust Store & Proxy-konfigurasjonen til å integrere en proxy. Ingen sertifikatoppdatering er nødvendig.
-
Gjennomsiktig ikke-inspeksjons-proxy– Nodene er ikke konfigurert til å bruke en bestemt proxy-serveradresse og bør ikke kreve endringer for å fungere med en ikke-inspeksjons-proxy. Ingen sertifikatoppdatering er nødvendig.
-
Gjennomsiktig tunnelering eller inspeksjons-proxy– Nodene er ikke konfigurert til å bruke en bestemt proxy-serveradresse. Ingen endringer i HTTP- eller HTTPS-konfigurasjonen er nødvendig på nodene. Nodene trenger imidlertid et rotsertifikat slik at de stoler på proxyen. Inspeksjons-proxyer brukes vanligvis av IT til å håndheve retningslinjer for hvilke nettsteder som kan besøkes og hvilke typer innhold som ikke er tillatt. Denne typen proxy dekrypterer all trafikken din (til og med HTTPS).
-
Eksplisitt proxy – Med eksplisitt proxy forteller du HDS-nodene hvilken proxy-server og godkjenningsskjema som skal brukes. Hvis du vil konfigurere en eksplisitt proxy, må du angi følgende informasjon på hver node:
-
Proxy-IP/FQDN – Adresse som kan brukes til å nå proxy-maskinen.
-
Proxy-port – Et portnummer som proxyen bruker til å lytte etter proxy-trafikk.
-
Proxy-protokoll – Avhengig av hva proxy-serveren støtter, velger du mellom følgende protokoller:
-
HTTP – viser og kontrollerer alle forespørsler som klienten sender.
-
HTTPS – Gir en kanal til serveren. Klienten mottar og validerer serverens sertifikat.
-
-
Godkjenningstype– velg blant følgende godkjenningstyper:
-
Ingen – ingen ytterligere godkjenning er nødvendig.
Tilgjengelig hvis du velger enten HTTP eller HTTPS som proxy-protokoll.
-
Grunnleggende – Brukes for en HTTP-brukeragent til å oppgi brukernavn og passord når du foretar en forespørsel. Bruker Base64-koding.
Tilgjengelig hvis du velger enten HTTP eller HTTPS som proxy-protokoll.
Krever at du skriver inn brukernavn og passord for hver node.
-
Sammendrag – Brukes til å bekrefte kontoen før sensitiv informasjon sendes. Bruker en hash-funksjon på brukernavnet og passordet før det sendes over nettverket.
Bare tilgjengelig hvis du velger HTTPS som proxy-protokoll.
Krever at du skriver inn brukernavn og passord for hver node.
-
-
Eksempel på noder og proxy for hybriddatasikkerhet
Dette diagrammet viser en eksempelkobling mellom hybriddatasikkerhet, nettverk og en proxy. For gjennomsiktig inspeksjon og eksplisitt HTTPS-inspeksjons-proxy-alternativer, må det samme rotsertifikatet være installert på proxyen og på nodene for hybriddatasikkerhet.
Blokkert ekstern DNS-oppløsningsmodus (eksplisitte proxy-konfigurasjoner)
Når du registrerer en node eller sjekker nodens proxy-konfigurasjon, tester prosessen DNS-oppslag og tilkobling til Cisco Webex-skyen. I distribusjoner med eksplisitte proxy-konfigurasjoner som ikke tillater ekstern DNS-oppløsning for interne klienter, går den automatisk inn i blokkert ekstern DNS-oppløsning-modus hvis noden ikke kan spørre DNS-serverne. I denne modusen kan noderegistrering og andre proxy-tilkoblingstester fortsette.
Forbered miljøet ditt
Krav til hybriddatasikkerhet for flere leietakere
Krav til Cisco Webex-lisens
Slik distribuerer du hybriddatasikkerhet for flere leietakere:
-
Partnerorganisasjoner: Kontakt din Cisco-partner eller kontoadministrator og sørg for at funksjonen for flere leietakere er aktivert.
-
Leietakerorganisasjoner: Du må ha Pro Pack for Cisco Webex Control Hub. (Se https://www.cisco.com/go/pro-pack.)
Krav til Docker-skrivebord
Før du installerer HDS-nodene, trenger du Docker Desktop for å kjøre et installasjonsprogram. Docker oppdaterte nylig sin lisensieringsmodell. Organisasjonen din kan kreve et betalt abonnement på Docker Desktop. Hvis du vil ha mer informasjon, kan du se innlegget til Docker-bloggen, «Docker oppdaterer og utvider våre produktabonnementer».
X.509-sertifikatkrav
Sertifikatkjeden må oppfylle følgende krav:
|
Krav |
Detaljer |
|---|---|
|
Som standard stoler vi på sertifiseringsinstansene i Mozilla-listen (med unntak av WoSign og StartCom) på https://wiki.mozilla.org/CA:IncludedCAs. |
|
CN trenger ikke å være tilgjengelig eller en direkte vert. Vi anbefaler at du bruker et navn som gjenspeiler organisasjonen din, for eksempel CN kan ikke inneholde et * (jokertegn). CN brukes til å bekrefte nodene for hybriddatasikkerhet til Webex-appklienter. Alle nodene for hybriddatasikkerhet i klyngen bruker det samme sertifikatet. KMS identifiserer seg selv ved hjelp av CN-domenet, ikke et domene som er definert i x.509v3 SAN-feltene. Når du har registrert en node med dette sertifikatet, støtter vi ikke endring av CN-domenenavnet. |
|
KMS-programvaren støtter ikke SHA1-signaturer for validering av tilkoblinger til andre organisasjons KMS-er. |
|
Du kan bruke en konverter som OpenSSL til å endre sertifikatets format. Du må angi passordet når du kjører HDS-installasjonsverktøyet. |
KMS-programvaren håndhever ikke nøkkelbruk eller utvidede begrensninger for nøkkelbruk. Noen sertifikatmyndigheter krever at utvidede nøkkelbruksbegrensninger brukes på hvert sertifikat, for eksempel servergodkjenning. Det er greit å bruke servergodkjenningen eller andre innstillinger.
Krav til virtuell vert
De virtuelle vertene som du vil konfigurere som Hybrid Data Security-noder i klyngen har følgende krav:
-
Minst to separate verter (3 anbefales) plassert i samme sikre datasenter
-
VMware ESXi 6.5 (eller nyere) installert og kjører.
Du må oppgradere hvis du har en tidligere versjon av ESXi.
-
Minimum 4 vCPU-er, 8 GB hovedminne, 30 GB lokalt harddiskplass per server
Krav til databaseserver
Opprett en ny database for nøkkellagring. Ikke bruk standarddatabasen. HDS-programmene oppretter databaseskjemaet når de er installert.
Det finnes to alternativer for databaseserver. Kravene til hver av dem er som følger:
|
PostgreSql |
Microsoft SQL Server |
|---|---|
|
|
|
Minimum 8 vCPU-er, 16 GB hovedminne, tilstrekkelig harddiskplass og overvåking for å sikre at det ikke overskrides (2 TB anbefales hvis du vil kjøre databasen i lang tid uten å måtte øke lagringsplassen) |
Minimum 8 vCPU-er, 16 GB hovedminne, tilstrekkelig harddiskplass og overvåking for å sikre at det ikke overskrides (2 TB anbefales hvis du vil kjøre databasen i lang tid uten å måtte øke lagringsplassen) |
HDS-programvaren installerer for øyeblikket følgende driverversjoner for kommunikasjon med databaseserveren:
|
PostgreSql |
Microsoft SQL Server |
|---|---|
|
Postgres JDBC driver 42.2.5 |
SQL Server JDBC driver 4.6 Denne driverversjonen støtter SQL Server Always On (Always On Failover Cluster Instances og Always On Availability Groups). |
Ytterligere krav for Windows-godkjenning mot Microsoft SQL Server
Hvis du vil at HDS-noder skal bruke Windows-godkjenning for å få tilgang til Keystore-databasen på Microsoft SQL Server, trenger du følgende konfigurasjon i miljøet ditt:
-
HDS-nodene, Active Directory-infrastrukturen og MS SQL Server må alle synkroniseres med NTP.
-
Windows-kontoen du oppgir til HDS-noder, må ha lese-/skrivetilgang til databasen.
-
DNS-serverne du leverer til HDS-noder, må kunne løse nøkkeldistribusjonssenteret (KDC).
-
Du kan registrere HDS-databaseforekomsten på Microsoft SQL Server som et tjenestehovednavn (SPN) i Active Directory. Se Registrer tjenestens hovednavn for Kerberos-tilkoblinger.
HDS-installasjonsverktøyet, HDS-oppstartsprogrammet og lokal KMS må bruke Windows-godkjenning for å få tilgang til nøkkelbutikkdatabasen. De bruker detaljene fra ISO-konfigurasjonen til å konstruere SPN-en når de ber om tilgang med Kerberos-godkjenning.
Krav til ekstern tilkobling
Konfigurer brannmuren slik at den tillater følgende tilkobling for HDS-programmene:
|
Applikasjon |
Protokoll |
Port |
Retning fra appen |
Destinasjon |
|---|---|---|---|---|
|
Noder for hybriddatasikkerhet |
tcp |
443 |
Utgående HTTPS og WSS |
|
|
HDS-oppsettsverktøy |
tcp |
443 |
Utgående HTTPS |
|
Nodene for hybriddatasikkerhet fungerer med oversettelse av nettverkstilgang (NAT) eller bak en brannmur, så lenge NAT eller brannmuren tillater de nødvendige utgående tilkoblingene til domenet-målene i tabellen ovenfor. Ingen porter skal være synlige fra Internett for tilkoblinger som går inn til nodene for hybriddatasikkerhet. I datasenteret trenger klienter tilgang til nodene for hybriddatasikkerhet på TCP-portene 443 og 22 av administrative grunner.
URL-adressene for Common Identity (CI)-vertene er områdespesifikke. Dette er de gjeldende CI-vertene:
|
Region |
URL-adresser for Common Identity Host |
|---|---|
|
Nord-Amerika |
|
|
Den europeiske union |
|
|
Canada |
|
| Singapore |
|
| De forente arabiske emirater |
|
Krav til proxy-server
-
Vi støtter offisielt følgende proxy-løsninger som kan integreres med nodene for hybriddatasikkerhet.
-
Gjennomsiktig proxy – Cisco Web Security Appliance (WSA).
-
Eksplisitt proxy – Squid.
Squid-proxyer som inspiserer HTTPS-trafikk kan forstyrre opprettelsen av websocket-tilkoblinger (wss:). Hvis du vil omgå dette problemet, kan du se Konfigurere Squid-proxyer for hybriddatasikkerhet.
-
-
Vi støtter følgende kombinasjoner av godkjenningstyper for eksplisitte proxyer:
-
Ingen godkjenning med HTTP eller HTTPS
-
Grunnleggende godkjenning med HTTP eller HTTPS
-
Digest-godkjenning kun med HTTPS
-
-
For en gjennomsiktig inspeksjons-proxy eller en eksplisitt HTTPS-proxy, må du ha en kopi av proxyens rotsertifikat. Distribusjonsinstruksjonene i denne veiledningen forteller deg hvordan du laster opp kopien til klareringslagrene for hybriddatasikkerhetsnodene.
-
Nettverket som er vert for HDS-nodene, må konfigureres til å tvinge utgående TCP-trafikk på port 443 til å rute gjennom proxyen.
-
Proxyer som inspiserer webtrafikk kan forstyrre Web Socket-tilkoblinger. Hvis dette problemet oppstår, vil det å omgå (ikke inspisere) trafikk til
wbx2.com, ogciscospark.comvil løse problemet.
Fullfør forutsetningene for hybrid datasikkerhet
| 1 |
Sørg for at partnerorganisasjonen din har HDS-funksjonen for flere leietakere aktivert og få legitimasjonen til en konto med fullstendig partneradministrator og fullstendige administratorrettigheter. Påse at Webex-kundeorganisasjonen er aktivert for Pro Pack for Cisco Webex Control Hub. Kontakt din Cisco-partner eller kontoadministrator for å få hjelp med denne prosessen. Kundeorganisasjoner skal ikke ha noen eksisterende HDS-distribusjon. |
| 2 |
Velg et domenenavn for HDS-distribusjonen (for eksempel |
| 3 |
Klargjør identiske virtuelle verter som du vil konfigurere som Hybrid Data Security-noder i klyngen. Du trenger minst to separate verter (3 anbefales) plassert i samme sikre datasenter, som oppfyller kravene i Krav til virtuelle verter. |
| 4 |
Klargjør databaseserveren som skal fungere som nøkkeldatalager for klyngen, i henhold til Databaseserverkrav. Databaseserveren må være plassert i det sikre datasenteret med de virtuelle vertene. |
| 5 |
For rask katastrofegjenoppretting konfigurerer du et sikkerhetskopieringsmiljø i et annet datasenter. Sikkerhetskopieringsmiljøet gjenspeiler produksjonsmiljøet til VM-er og en sikkerhetskopidatabaseserver. Hvis for eksempel produksjonen har 3 VM-er som kjører HDS-noder, skal sikkerhetskopieringsmiljøet ha 3 VM-er. |
| 6 |
Sett opp en syslog-vert for å samle inn logger fra nodene i klyngen. Samle nettverksadressen og syslog-porten (standard er UDP 514). |
| 7 |
Opprett en sikker sikkerhetskopieringspolicy for nodene for hybriddatasikkerhet, databaseserveren og syslog-verten. For å forhindre ugjenopprettelig tap av data må du som minimum sikkerhetskopiere databasen og konfigurasjonsfilen som genereres for nodene for hybriddatasikkerhet. Fordi nodene for hybriddatasikkerhet lagrer nøklene som brukes til kryptering og dekryptering av innhold, vil manglende vedlikehold av en operativ distribusjon føre til UGJENOPPRETTELIG TAP av dette innholdet. Webex-appklienter bufrer nøklene sine, så det kan hende at et driftsbrudd ikke er umiddelbart merkbart, men vil bli tydelig over tid. Selv om midlertidige avbrudd er umulig å forhindre, kan de gjenopprettes. Fullstendig tap (ingen sikkerhetskopieringer tilgjengelig) av enten databasen eller konfigurasjons-ISO-filen vil imidlertid føre til ugjenopprettbare kundedata. Operatørene av nodene for hybriddatasikkerhet forventes å opprettholde hyppige sikkerhetskopieringer av databasen og konfigurasjonsfilen, og være forberedt på å gjenoppbygge datasenteret for hybriddatasikkerhet hvis det oppstår en katastrofal feil. |
| 8 |
Kontroller at brannmurkonfigurasjonen tillater tilkobling for hybriddatasikkerhetsnodene som beskrevet i Krav til ekstern tilkobling. |
| 9 |
Installer Docker ( https://www.docker.com) på en hvilken som helst lokal maskin som kjører et støttet operativsystem (Microsoft Windows 10 Professional eller Enterprise 64-biters, eller Mac OSX Yosemite 10.10.3 eller nyere) med en nettleser som har tilgang til det på http://127.0.0.1:8080. Du bruker Docker-forekomsten til å laste ned og kjøre HDS-installasjonsverktøyet, som bygger den lokale konfigurasjonsinformasjonen for alle nodene for hybriddatasikkerhet. Du trenger kanskje en Docker Desktop-lisens. Se Krav til Docker Desktop for mer informasjon. For å installere og kjøre HDS-installasjonsverktøyet må den lokale maskinen ha tilkoblingen beskrevet i Krav til ekstern tilkobling. |
| 10 |
Hvis du integrerer en proxy med hybriddatasikkerhet, må du sørge for at den oppfyller kravene til proxy-serveren. |
Konfigurere en klynge for hybriddatasikkerhet
Oppgaveflyt for distribusjon av hybrid datasikkerhet
| 1 |
Utfør første konfigurasjon og last ned installasjonsfiler Last ned OVA-filen til din lokale maskin for senere bruk. |
| 2 |
Opprette en konfigurasjons-ISO for HDS-verter Bruk HDS-installasjonsverktøyet til å opprette en ISO-konfigurasjonsfil for nodene for hybriddatasikkerhet. |
| 3 |
Opprett en virtuell maskin fra OVA-filen og utfør første konfigurasjon, for eksempel nettverksinnstillinger. Alternativet for å konfigurere nettverksinnstillinger under OVA-distribusjon er testet med ESXi 6.5. Alternativet er kanskje ikke tilgjengelig i tidligere versjoner. |
| 4 |
Konfigurere VM for hybriddatasikkerhet Logg på VM-konsollen og angi påloggingslegitimasjonen. Konfigurer nettverksinnstillingene for noden hvis du ikke konfigurerte dem da OVA ble distribuert. |
| 5 |
Laste opp og montere konfigurasjons-ISO for HDS Konfigurer VM fra ISO-konfigurasjonsfilen du opprettet med HDS-installasjonsverktøyet. |
| 6 |
Konfigurere HDS-noden for proxy-integrering Hvis nettverksmiljøet krever proxy-konfigurasjon, angir du hvilken type proxy du vil bruke for noden, og legger til proxy-sertifikatet i klareringslageret om nødvendig. |
| 7 |
Registrer den første noden i klyngen Registrer VM med Cisco Webex-skyen som en hybrid datasikkerhetsnode. |
| 8 |
Opprett og registrer flere noder Fullfør klyngeoppsettet. |
| 9 |
Aktiver HDS for flere leietakere på Partner Hub. Aktiver HDS og administrer leierorganisasjoner på Partner Hub. |
Utfør første konfigurasjon og last ned installasjonsfiler
I denne oppgaven laster du ned en OVA-fil til maskinen din (ikke til serverne du konfigurerer som Hybrid Data Security-noder). Du bruker denne filen senere i installasjonsprosessen.
| 1 |
Logg på Partner Hub, og klikk deretter på Tjenester. |
| 2 |
Finn kortet for hybriddatasikkerhet under Skytjenester, og klikk deretter på Konfigurer. |
| 3 |
Klikk på Legg til en ressurs , og klikk på Last ned .OVA-fil på kortet Installer og konfigurer programvare . Eldre versjoner av programvarepakken (OVA) vil ikke være kompatible med de nyeste oppgraderingene for hybriddatasikkerhet. Dette kan føre til problemer under oppgradering av programmet. Sørg for at du laster ned den nyeste versjonen av OVA-filen. Du kan også laste ned OVA når som helst fra Hjelp -delen. Klikk på . OVA-filen begynner automatisk å lastes ned. Lagre filen på en plassering på maskinen.
|
| 4 |
Du kan eventuelt klikke på Se distribusjonsveiledning for hybriddatasikkerhet for å sjekke om det finnes en senere versjon av denne veiledningen. |
Opprette en konfigurasjons-ISO for HDS-verter
Installasjonsprosessen for hybriddatasikkerhet oppretter en ISO-fil. Deretter bruker du ISO til å konfigurere verten for hybriddatasikkerhet.
Før du begynner
-
HDS-installasjonsverktøyet kjører som en Docker-beholder på en lokal maskin. Kjør Docker på maskinen for å få tilgang til den. Installasjonsprosessen krever legitimasjonen til en Partner Hub-konto med fulle administratorrettigheter.
Hvis HDS-installasjonsverktøyet kjører bak en proxy i miljøet ditt, må du oppgi proxy-innstillingene (server, port, legitimasjon) gjennom Docker-miljøvariablene når du tar opp Docker-beholderen i trinn 5 nedenfor. Denne tabellen viser noen mulige miljøvariabler:
Beskrivelse
Variabel
HTTP-proxy uten autentisering
GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORTHTTPS-proxy uten autentisering
GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORTHTTP-proxy med autentisering
GLOBAL_AGENT_HTTP_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORTHTTPS-proxy med autentisering
GLOBAL_AGENT_HTTPS_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT -
ISO-konfigurasjonsfilen du genererer, inneholder hovednøkkelen som krypterer PostgreSQL- eller Microsoft SQL Server-databasen. Du trenger den nyeste kopien av denne filen hver gang du gjør konfigurasjonsendringer, for eksempel disse:
-
Databaselegitimasjon
-
Sertifikatoppdateringer
-
Endringer i godkjenningspolicyen
-
-
Hvis du planlegger å kryptere databasetilkoblinger, konfigurerer du distribusjonen av PostgreSQL eller SQL Server for TLS.
| 1 |
På maskinens kommandolinje angir du riktig kommando for miljøet: I vanlige miljøer: I FedRAMP-miljøer: Dette trinnet rydder opp tidligere HDS-installasjonsverktøy bilder. Hvis det ikke finnes noen tidligere bilder, returnerer det en feil som du kan ignorere. | ||||||||||
| 2 |
Skriv inn følgende for å logge på Docker-bilderegisteret: | ||||||||||
| 3 |
Skriv inn denne hashen når du blir bedt om passord: | ||||||||||
| 4 |
Last ned det nyeste stabile bildet for miljøet ditt: I vanlige miljøer: I FedRAMP-miljøer: | ||||||||||
| 5 |
Når trekket er fullført, skriver du inn riktig kommando for ditt miljø:
Når containeren kjører, ser du "Express server lytter på port 8080." | ||||||||||
| 6 |
Installasjonsverktøyet støtter ikke tilkobling til localhost via http://localhost:8080. Bruk http://127.0.0.1:8080 for å koble til localhost. Bruk en nettleser til å gå til localhost, Verktøyet bruker denne første oppføringen av brukernavnet til å angi riktig miljø for kontoen. Verktøyet viser deretter standard påloggingsmelding. | ||||||||||
| 7 |
Når du blir bedt om det, skriver du inn påloggingslegitimasjonen for Partner Hub-administrator, og klikker deretter på Logg på for å gi tilgang til de nødvendige tjenestene for hybriddatasikkerhet. | ||||||||||
| 8 |
Klikk på Kom i gang på oversiktssiden for oppsettsverktøyet. | ||||||||||
| 9 |
På siden ISO-import har du disse alternativene:
| ||||||||||
| 10 |
Kontroller at X.509-sertifikatet oppfyller kravene i X.509-sertifikatkrav.
| ||||||||||
| 11 |
Skriv inn databaseadressen og kontoen for HDS for å få tilgang til nøkkeldatalageret: | ||||||||||
| 12 |
Velg en TLS-databasetilkoblingsmodus:
Når du laster opp rotsertifikatet (om nødvendig) og klikker på Fortsett, tester HDS-installasjonsverktøyet TLS-tilkoblingen til databaseserveren. Verktøyet bekrefter også sertifikatsigneringen og vertsnavnet, hvis aktuelt. Hvis en test mislykkes, viser verktøyet en feilmelding som beskriver problemet. Du kan velge om du vil ignorere feilen og fortsette med oppsettet. (På grunn av tilkoblingsforskjeller kan HDS-nodene være i stand til å etablere TLS-tilkoblingen selv om HDS-installasjonsverktøyet ikke kan teste den.) | ||||||||||
| 13 |
På siden Systemlogger konfigurerer du Syslogd-serveren: | ||||||||||
| 14 |
(Valgfritt) Du kan endre standardverdien for noen parametere for databasetilkobling i Avanserte innstillinger. Generelt er denne parameteren den eneste du kanskje vil endre: | ||||||||||
| 15 |
Klikk på Fortsett på skjermen Tilbakestill passord for tjenestekontoer . Passord for tjenestekontoen har en levetid på ni måneder. Bruk dette skjermbildet når passordene nærmer seg utløpsdatoen, eller du vil tilbakestille dem til å ugyldiggjøre tidligere ISO-filer. | ||||||||||
| 16 |
Klikk på Last ned ISO-fil. Lagre filen på et sted som er lett å finne. | ||||||||||
| 17 |
Ta en sikkerhetskopi av ISO-filen på ditt lokale system. Behold sikkerhetskopien sikker. Denne filen inneholder en hovedkrypteringsnøkkel for databaseinnholdet. Begrens tilgangen til bare de hybriddatasikkerhetsadministratorene som skal foreta konfigurasjonsendringer. | ||||||||||
| 18 |
Hvis du vil slå av installasjonsverktøyet, skriver du inn |
Hva du skal gjøre nå
Sikkerhetskopier ISO-konfigurasjonsfilen. Du trenger den for å opprette flere noder for gjenoppretting, eller for å gjøre konfigurasjonsendringer. Hvis du mister alle kopier av ISO-filen, har du også mistet hovednøkkelen. Det er ikke mulig å gjenopprette nøklene fra PostgreSQL- eller Microsoft SQL Server-databasen.
Vi har aldri en kopi av denne nøkkelen og kan ikke hjelpe hvis du mister den.
Installere HDS Host OVA
| 1 |
Bruk VMware vSphere-klienten på datamaskinen for å logge på den virtuelle ESXi-verten. |
| 2 |
Velg Fil > Distribuer OVF-mal. |
| 3 |
I veiviseren angir du plasseringen til OVA-filen du lastet ned tidligere, og klikker deretter på Neste. |
| 4 |
På siden Velg et navn og mappe skriver du inn et Virtuelt maskinnavn for noden (for eksempel «HDS_Node_1»), velger et sted der den virtuelle maskinnodedistribusjonen kan ligge, og klikker deretter på Neste. |
| 5 |
På siden Velg en beregningsressurs velger du destinasjonsberegningsressursen, og klikker deretter på Neste. En valideringskontroll kjører. Når den er ferdig, vises maldetaljene. |
| 6 |
Bekreft maldetaljene, og klikk deretter på Neste. |
| 7 |
Hvis du blir bedt om å velge ressurskonfigurasjonen på Konfigurasjon -siden, klikker du på 4 CPU og klikker deretter på Neste. |
| 8 |
På siden Velg lagring klikker du på Neste for å godta standard diskformat og retningslinjer for lagring av VM. |
| 9 |
På siden Velg nettverk velger du nettverksalternativet fra listen over oppføringer for å gi ønsket tilkobling til VM-en. |
| 10 |
Konfigurer følgende nettverksinnstillinger på siden Tilpass mal :
Hvis du vil, kan du hoppe over konfigurasjonen av nettverksinnstillingene og følge trinnene i Konfigurere VM for hybriddatasikkerhet for å konfigurere innstillingene fra nodekonsollen. Alternativet for å konfigurere nettverksinnstillinger under OVA-distribusjon er testet med ESXi 6.5. Alternativet er kanskje ikke tilgjengelig i tidligere versjoner. |
| 11 |
Høyreklikk på noden VM, og velg deretter . Programvaren for hybrid datasikkerhet installeres som gjest på VM-verten. Du er nå klar til å logge på konsollen og konfigurere noden. Feilsøkingstips Du kan oppleve en forsinkelse på noen minutter før nodebeholderne kommer opp. Det vises en brobrannmurmelding på konsollen under første oppstart, hvor du ikke kan logge på. |
Konfigurere VM for hybriddatasikkerhet
Bruk denne fremgangsmåten til å logge på VM-konsollen for hybriddatasikkerhetsnoden for første gang og angi påloggingslegitimasjonen. Du kan også bruke konsollen til å konfigurere nettverksinnstillingene for noden hvis du ikke konfigurerte dem da OVA ble distribuert.
| 1 |
I VMware vSphere-klienten velger du den hybride datasikkerhetsnoden VM og velger fanen Konsoll . VM starter opp og en melding om pålogging vises. Hvis meldingen om pålogging ikke vises, trykker du på Enter.
|
| 2 |
Bruk følgende standard pålogging og passord for å logge på og endre legitimasjonen: Siden du logger på VM for første gang, må du endre administratorpassordet. |
| 3 |
Hvis du allerede har konfigurert nettverksinnstillingene i Installer HDS Host OVA, hopper du over resten av denne prosedyren. Hvis ikke, velger du alternativet Rediger konfigurasjon i hovedmenyen. |
| 4 |
Konfigurer en statisk konfigurasjon med IP-adresse, maske, gateway og DNS-informasjon. Noden din skal ha en intern IP-adresse og et DNS-navn. DHCP støttes ikke. |
| 5 |
(Valgfritt) Endre vertsnavnet, domenet eller NTP-serveren(e) om nødvendig for å samsvare med nettverkspolicyen. Du trenger ikke å angi domenet til å samsvare med domenet du brukte til å skaffe X.509-sertifikatet. |
| 6 |
Lagre nettverkskonfigurasjonen og start VM på nytt slik at endringene trer i kraft. |
Laste opp og montere konfigurasjons-ISO for HDS
Før du begynner
Fordi ISO-filen innehar hovednøkkelen, bør den bare eksponeres på "trenger å vite"-basis, for tilgang for virtuelle maskiner for hybriddatasikkerhet og eventuelle administratorer som må gjøre endringer. Sørg for at bare disse administratorene har tilgang til datalageret.
| 1 |
Last opp ISO-filen fra datamaskinen: |
| 2 |
Montere ISO-fil: |
Hva du skal gjøre nå
Hvis IT-policyen krever det, kan du eventuelt avmontere ISO-filen etter at alle nodene har plukket opp konfigurasjonsendringene. Se (Valgfritt) Avmonter ISO etter HDS-konfigurasjon for detaljer.
Konfigurere HDS-noden for proxy-integrering
Hvis nettverksmiljøet krever en proxy, bruker du denne fremgangsmåten til å angi hvilken type proxy du vil integrere med hybrid datasikkerhet. Hvis du velger en gjennomsiktig inspeksjons-proxy eller en eksplisitt HTTPS-proxy, kan du bruke nodens grensesnitt til å laste opp og installere rotsertifikatet. Du kan også sjekke proxy-tilkoblingen fra grensesnittet, og feilsøke eventuelle problemer.
Før du begynner
-
Se Proxy-støtte for en oversikt over proxy-alternativene som støttes.
| 1 |
Skriv inn URL-adressen for HDS-nodeoppsett |
| 2 |
Gå til Klareringslager og proxy, og velg deretter et alternativ:
Følg de neste trinnene for en gjennomsiktig inspeksjons-proxy, en eksplisitt HTTP-proxy med grunnleggende godkjenning eller en eksplisitt HTTPS-proxy. |
| 3 |
Klikk på Last opp et rotsertifikat eller sluttenhetssertifikat, og gå deretter til å velge rotsertifikatet for proxyen. Sertifikatet er lastet opp, men er ennå ikke installert fordi du må starte noden på nytt for å installere sertifikatet. Klikk på chevron-pilen ved navnet på sertifikatutstederen for å få mer informasjon, eller klikk på Slett hvis du har gjort en feil og vil laste opp filen på nytt. |
| 4 |
Klikk på Kontroller proxy-tilkobling for å teste nettverkstilkoblingen mellom noden og proxyen. Hvis tilkoblingstesten mislykkes, får du en feilmelding som viser årsaken og hvordan du kan løse problemet. Hvis du ser en melding om at den eksterne DNS-oppløsningen ikke var vellykket, kunne ikke noden nå DNS-serveren. Denne tilstanden forventes i mange eksplisitte proxy-konfigurasjoner. Du kan fortsette med oppsettet, og noden vil fungere i modus for blokkert ekstern DNS-oppløsning. Hvis du tror dette er en feil, fullfører du disse trinnene og ser Slå av blokkert ekstern DNS-oppløsningsmodus. |
| 5 |
Etter at tilkoblingstesten er bestått, bare for eksplisitt proxy satt til https, slår du veksleknappen til Rute alle port 443/444 https-forespørsler fra denne noden gjennom den eksplisitte proxyen. Denne innstillingen tar 15 sekunder før den trer i kraft. |
| 6 |
Klikk på Installer alle sertifikater i klareringslageret (vises for en eksplisitt HTTPS-proxy eller en gjennomsiktig inspeksjons-proxy) eller Start på nytt (vises for en eksplisitt HTTP-proxy), les ledeteksten og klikk deretter på Installer hvis du er klar. Noden starter på nytt innen noen få minutter. |
| 7 |
Etter at noden har startet på nytt, logger du på igjen om nødvendig og åpner deretter Oversikt -siden for å sjekke tilkoblingskontrollene for å sikre at alle er i grønn status. Proxy-tilkoblingskontrollen tester bare et underdomene av webex.com. Hvis det oppstår tilkoblingsproblemer, er et vanlig problem at noen av skydomenene som er oppført i installasjonsinstruksjonene, blokkeres ved proxyen. |
Registrer den første noden i klyngen
Når du registrerer din første node, oppretter du en klynge som noden er tilordnet til. En klynge inneholder én eller flere noder som er distribuert for å gi redundans.
Før du begynner
-
Når du begynner å registrere en node, må du fullføre den innen 60 minutter, eller du må starte på nytt.
-
Sørg for at eventuelle popup-blokkere i nettleseren er deaktivert, eller at du tillater et unntak for admin.webex.com.
| 1 |
Logg på https://admin.webex.com. |
| 2 |
Velg Tjenester fra menyen til venstre på skjermen. |
| 3 |
I delen Skytjenester finner du kortet for hybriddatasikkerhet og klikker på Konfigurer. |
| 4 |
Klikk på Legg til en ressurs på siden som åpnes. |
| 5 |
I det første feltet i Legg til en node -kortet skriver du inn et navn på klyngen du vil tilordne hybriddatasikkerhetsnoden til. Vi anbefaler at du navngir en klynge basert på hvor nodene i klyngen befinner seg geografisk. Eksempler: "San Francisco" eller "New York" eller "Dallas" |
| 6 |
I det andre feltet skriver du inn den interne IP-adressen eller det fullstendige domenenavnet (FQDN) til noden og klikker på Legg til nederst på skjermen. Denne IP-adressen eller FQDN skal samsvare med IP-adressen eller vertsnavnet og domenet du brukte i Konfigurere VM for hybriddatasikkerhet. Det vises en melding som angir at du kan registrere noden din til Webex.
|
| 7 |
Klikk på Gå til node. Etter et øyeblikk blir du omdirigert til nodetilkoblingstestene for Webex-tjenester. Hvis alle testene er vellykkede, vises siden Gi tilgang til hybrid datasikkerhetsnode. Der bekrefter du at du vil gi tillatelse til Webex-organisasjonen din for å få tilgang til noden din. |
| 8 |
Merk av i avkrysningsboksen Gi tilgang til din hybride datasikkerhetsnode , og klikk deretter på Fortsett. Kontoen din er validert, og meldingen «Registreringen er fullført» indikerer at noden din nå er registrert i Webex-skyen.
|
| 9 |
Klikk på koblingen eller lukk fanen for å gå tilbake til Partner Hub Hybrid Data Security-siden. På siden Hybriddatasikkerhet vises den nye klyngen som inneholder noden du registrerte, under Ressurser -fanen. Noden vil automatisk laste ned den nyeste programvaren fra skyen.
|
Opprett og registrer flere noder
Før du begynner
-
Når du begynner å registrere en node, må du fullføre den innen 60 minutter, eller du må starte på nytt.
-
Sørg for at eventuelle popup-blokkere i nettleseren er deaktivert, eller at du tillater et unntak for admin.webex.com.
| 1 |
Opprett en ny virtuell maskin fra OVA, og gjenta trinnene i Installer HDS Host OVA. |
| 2 |
Konfigurer den første konfigurasjonen på den nye VM-en, og gjenta trinnene i Konfigurer VM for hybriddatasikkerhet. |
| 3 |
På den nye VM gjentar du trinnene i Last opp og monter HDS-konfigurasjons-ISO. |
| 4 |
Hvis du konfigurerer en proxy for distribusjonen, gjentar du trinnene i Konfigurer HDS-noden for proxy-integrasjon etter behov for den nye noden. |
| 5 |
Registrer noden. |
Administrere leietakerorganisasjoner for hybriddatasikkerhet for flere leietakere
Aktivere HDS for flere leietakere på Partner Hub
Denne oppgaven sikrer at alle brukere av kundeorganisasjonene kan begynne å bruke HDS for lokale krypteringsnøkler og andre sikkerhetstjenester.
Før du begynner
Sørg for at du har fullført konfigureringen av HDS-klyngen for flere leietakere med det nødvendige antallet noder.
| 1 |
Logg på https://admin.webex.com. |
| 2 |
Velg Tjenester fra menyen til venstre på skjermen. |
| 3 |
I delen Skytjenester finner du hybriddatasikkerhet og klikker på Rediger innstillinger. |
| 4 |
Klikk på Aktiver HDS på kortet HDS-status . |
Legg til leietakerorganisasjoner i Partner Hub
I denne oppgaven tilordner du kundeorganisasjoner til din hybride datasikkerhetsklynge.
| 1 |
Logg på https://admin.webex.com. |
| 2 |
Velg Tjenester fra menyen til venstre på skjermen. |
| 3 |
Finn hybriddatasikkerhet under Skytjenester, og klikk på Vis alle. |
| 4 |
Klikk på klyngen du vil at en kunde skal tilordnes til. |
| 5 |
Gå til fanen Tilordnede kunder . |
| 6 |
Klikk på Legg til kunder. |
| 7 |
Velg kunden du vil legge til, fra rullegardinmenyen. |
| 8 |
Klikk på Legg til, kunden blir lagt til i klyngen. |
| 9 |
Gjenta trinn 6 til 8 for å legge til flere kunder i klyngen. |
| 10 |
Klikk på Ferdig nederst på skjermen når du har lagt til kundene. |
Hva du skal gjøre nå
Opprett kundens hovednøkler (CMK-er) ved hjelp av HDS-installasjonsverktøyet
Før du begynner
Tilordne kunder til riktig klynge som beskrevet i Legg til leietakerorganisasjoner i Partner Hub. Kjør HDS-installasjonsverktøyet for å fullføre installasjonsprosessen for de nylig tillagte kundeorganisasjonene.
-
HDS-installasjonsverktøyet kjører som en Docker-beholder på en lokal maskin. Kjør Docker på maskinen for å få tilgang til den. Installasjonsprosessen krever legitimasjon for en Partner Hub-konto med fulle administratorrettigheter for organisasjonen din.
Hvis HDS-installasjonsverktøyet kjører bak en proxy i miljøet ditt, må du oppgi proxy-innstillingene (server, port, legitimasjon) gjennom Docker-miljøvariablene når du tar opp Docker-beholderen i trinn 5. Denne tabellen viser noen mulige miljøvariabler:
Beskrivelse
Variabel
HTTP-proxy uten autentisering
GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORTHTTPS-proxy uten autentisering
GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORTHTTP-proxy med autentisering
GLOBAL_AGENT_HTTP_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORTHTTPS-proxy med autentisering
GLOBAL_AGENT_HTTPS_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT -
ISO-konfigurasjonsfilen du genererer, inneholder hovednøkkelen som krypterer PostgreSQL- eller Microsoft SQL Server-databasen. Du trenger den nyeste kopien av denne filen hver gang du gjør konfigurasjonsendringer, for eksempel disse:
-
Databaselegitimasjon
-
Sertifikatoppdateringer
-
Endringer i godkjenningspolicyen
-
-
Hvis du planlegger å kryptere databasetilkoblinger, konfigurerer du distribusjonen av PostgreSQL eller SQL Server for TLS.
Installasjonsprosessen for hybriddatasikkerhet oppretter en ISO-fil. Deretter bruker du ISO til å konfigurere verten for hybriddatasikkerhet.
| 1 |
På maskinens kommandolinje angir du riktig kommando for miljøet: I vanlige miljøer: I FedRAMP-miljøer: Dette trinnet rydder opp tidligere HDS-installasjonsverktøy bilder. Hvis det ikke finnes noen tidligere bilder, returnerer det en feil som du kan ignorere. |
| 2 |
Skriv inn følgende for å logge på Docker-bilderegisteret: |
| 3 |
Skriv inn denne hashen når du blir bedt om passord: |
| 4 |
Last ned det nyeste stabile bildet for miljøet ditt: I vanlige miljøer: I FedRAMP-miljøer: |
| 5 |
Når trekket er fullført, skriver du inn riktig kommando for ditt miljø:
Når containeren kjører, ser du "Express server lytter på port 8080." |
| 6 |
Installasjonsverktøyet støtter ikke tilkobling til localhost via http://localhost:8080. Bruk http://127.0.0.1:8080 for å koble til localhost. Bruk en nettleser til å gå til localhost, Verktøyet bruker denne første oppføringen av brukernavnet til å angi riktig miljø for kontoen. Verktøyet viser deretter standard påloggingsmelding. |
| 7 |
Når du blir bedt om det, skriver du inn påloggingslegitimasjonen for Partner Hub-administrator, og klikker deretter på Logg på for å gi tilgang til de nødvendige tjenestene for hybriddatasikkerhet. |
| 8 |
Klikk på Kom i gang på oversiktssiden for oppsettsverktøyet. |
| 9 |
Klikk på Ja på siden ISO-import. |
| 10 |
Velg ISO-filen i nettleseren og last den opp. Sørg for tilkobling til databasen din for å utføre CMK-administrasjon. |
| 11 |
Gå til fanen Leietakers CMK-administrasjon , der du finner følgende tre måter å administrere leietakers CMK-er på.
|
| 12 |
Når CMK opprettes, endres statusen i tabellen fra CMK-administrasjon venter til CMK-administrert. |
| 13 |
Hvis opprettelsen av CMK mislykkes, vises en feilmelding. |
Fjern leietakerorganisasjoner
Før du begynner
Når de er fjernet, vil ikke brukere av kundeorganisasjoner kunne utnytte HDS for sine krypteringsbehov og vil miste alle eksisterende områder. Før du fjerner kundeorganisasjoner, må du kontakte din Cisco-partner eller kontoadministrator.
| 1 |
Logg på https://admin.webex.com. |
| 2 |
Velg Tjenester fra menyen til venstre på skjermen. |
| 3 |
Finn hybriddatasikkerhet under Skytjenester, og klikk på Vis alle. |
| 4 |
I fanen Ressurser klikker du på klyngen du vil fjerne kundeorganisasjoner fra. |
| 5 |
Klikk på Tilordnede kunder på siden som åpnes. |
| 6 |
Fra listen over kundeorganisasjoner som vises, klikker du på til høyre for kundeorganisasjonen du vil fjerne, og klikker på Fjern fra klynge. |
Hva du skal gjøre nå
Fullfør fjerningsprosessen ved å tilbakekalle kundeorganisasjonens CMK-er, som beskrevet i Tilbakekall CMK-er for leiere som er fjernet fra HDS.
Tilbakekall CMK-er for leiere som er fjernet fra HDS.
Før du begynner
Fjern kunder fra den aktuelle klyngen som beskrevet i Fjern leietakerorganisasjoner. Kjør HDS-installasjonsverktøyet for å fullføre fjerningsprosessen for kundeorganisasjonene som ble fjernet.
-
HDS-installasjonsverktøyet kjører som en Docker-beholder på en lokal maskin. Kjør Docker på maskinen for å få tilgang til den. Installasjonsprosessen krever legitimasjon for en Partner Hub-konto med fulle administratorrettigheter for organisasjonen din.
Hvis HDS-installasjonsverktøyet kjører bak en proxy i miljøet ditt, må du oppgi proxy-innstillingene (server, port, legitimasjon) gjennom Docker-miljøvariablene når du tar opp Docker-beholderen i trinn 5. Denne tabellen viser noen mulige miljøvariabler:
Beskrivelse
Variabel
HTTP-proxy uten autentisering
GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORTHTTPS-proxy uten autentisering
GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORTHTTP-proxy med autentisering
GLOBAL_AGENT_HTTP_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORTHTTPS-proxy med autentisering
GLOBAL_AGENT_HTTPS_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT -
ISO-konfigurasjonsfilen du genererer, inneholder hovednøkkelen som krypterer PostgreSQL- eller Microsoft SQL Server-databasen. Du trenger den nyeste kopien av denne filen hver gang du gjør konfigurasjonsendringer, for eksempel disse:
-
Databaselegitimasjon
-
Sertifikatoppdateringer
-
Endringer i godkjenningspolicyen
-
-
Hvis du planlegger å kryptere databasetilkoblinger, konfigurerer du distribusjonen av PostgreSQL eller SQL Server for TLS.
Installasjonsprosessen for hybriddatasikkerhet oppretter en ISO-fil. Deretter bruker du ISO til å konfigurere verten for hybriddatasikkerhet.
| 1 |
På maskinens kommandolinje angir du riktig kommando for miljøet: I vanlige miljøer: I FedRAMP-miljøer: Dette trinnet rydder opp tidligere HDS-installasjonsverktøy bilder. Hvis det ikke finnes noen tidligere bilder, returnerer det en feil som du kan ignorere. |
| 2 |
Skriv inn følgende for å logge på Docker-bilderegisteret: |
| 3 |
Skriv inn denne hashen når du blir bedt om passord: |
| 4 |
Last ned det nyeste stabile bildet for miljøet ditt: I vanlige miljøer: I FedRAMP-miljøer: |
| 5 |
Når trekket er fullført, skriver du inn riktig kommando for ditt miljø:
Når containeren kjører, ser du "Express server lytter på port 8080." |
| 6 |
Installasjonsverktøyet støtter ikke tilkobling til localhost via http://localhost:8080. Bruk http://127.0.0.1:8080 for å koble til localhost. Bruk en nettleser til å gå til localhost, Verktøyet bruker denne første oppføringen av brukernavnet til å angi riktig miljø for kontoen. Verktøyet viser deretter standard påloggingsmelding. |
| 7 |
Når du blir bedt om det, skriver du inn påloggingslegitimasjonen for Partner Hub-administrator, og klikker deretter på Logg på for å gi tilgang til de nødvendige tjenestene for hybriddatasikkerhet. |
| 8 |
Klikk på Kom i gang på oversiktssiden for oppsettsverktøyet. |
| 9 |
Klikk på Ja på siden ISO-import. |
| 10 |
Velg ISO-filen i nettleseren og last den opp. |
| 11 |
Gå til fanen Leietakers CMK-administrasjon , der du finner følgende tre måter å administrere leietakers CMK-er på.
|
| 12 |
Når CMK-opphevelse er fullført, vises ikke kundeorganisasjonen lenger i tabellen. |
| 13 |
Hvis CMK-tilbakekalling mislykkes, vises en feil. |
Test distribusjonen av hybrid datasikkerhet
Test distribusjonen av hybrid datasikkerhet
Før du begynner
-
Konfigurer distribusjonen av hybriddatasikkerhet for flere leietakere.
-
Sørg for at du har tilgang til syslog for å bekrefte at viktige forespørsler sendes til din distribusjon av hybriddatasikkerhet for flere leietakere.
| 1 |
Nøkler for et gitt område angis av skaperen av området. Logg på Webex-appen som en av brukerne av kundeorganisasjonen, og opprett deretter et område. Hvis du deaktiverer distribusjonen av hybriddatasikkerhet, er ikke innhold i områder som brukere oppretter, lenger tilgjengelig når de klientbufrede kopiene av krypteringsnøklene er erstattet. |
| 2 |
Send meldinger til det nye området. |
| 3 |
Kontroller syslog-utdataene for å bekrefte at nøkkelforespørslene sendes til distribusjonen av hybriddatasikkerhet. |
Overvåk sikkerhets helse for hybriddata
| 1 |
I Partner Hub velger du Tjenester fra menyen til venstre på skjermen. |
| 2 |
I delen Skytjenester finner du hybriddatasikkerhet og klikker på Rediger innstillinger. Siden Innstillinger for hybriddatasikkerhet vises.
|
| 3 |
Skriv inn én eller flere e-postadresser atskilt med komma i delen E-postvarsler, og trykk på Enter. |
Administrer HDS-distribusjonen din
Administrer HDS-distribusjon
Bruk oppgavene som er beskrevet her for å administrere distribusjonen av hybriddatasikkerhet.
Angi tidsplan for klyngeoppgradering
Slik angir du oppgraderingsplanen:
| 1 |
Logg på Partner Hub. |
| 2 |
Velg Tjenester fra menyen til venstre på skjermen. |
| 3 |
I delen Skytjenester finner du hybriddatasikkerhet og klikker på Konfigurer |
| 4 |
Velg klyngen på siden Hybrid Data Security Resources. |
| 5 |
Klikk på fanen Klyngeinnstillinger . |
| 6 |
Velg klokkeslett og tidssone for oppgraderingsplanen på siden Klyngeinnstillinger under Oppgraderingsplan. Merk: Under tidssonen vises neste tilgjengelige oppgraderingsdato og -klokkeslett. Du kan utsette oppgraderingen til neste dag ved å klikke på Utsett med 24 timer. |
Endre nodekonfigurasjonen
-
Endring av x.509-sertifikater på grunn av utløp eller andre årsaker.
Vi støtter ikke endring av CN-domenenavnet for et sertifikat. Domenet må samsvare med det opprinnelige domenet som ble brukt til å registrere klyngen.
-
Oppdaterer databaseinnstillinger for å endre til en kopi av PostgreSQL- eller Microsoft SQL Server-databasen.
Vi støtter ikke overføring av data fra PostgreSQL til Microsoft SQL Server, eller motsatt måte. Start en ny distribusjon av hybriddatasikkerhet for å bytte databasemiljøet.
-
Opprette en ny konfigurasjon for å klargjøre et nytt datasenter.
Av sikkerhetshensyn bruker Hybrid Data Security også passord for tjenestekontoer som har en levetid på ni måneder. Når HDS-installasjonsverktøyet har generert disse passordene, distribuerer du dem til hver av HDS-nodene i ISO-konfigurasjonsfilen. Når organisasjonens passord nærmer seg utløpsdato, mottar du et varsel fra Webex-teamet om å tilbakestille passordet for maskinkontoen din. (E-posten inneholder teksten "Bruk maskinkontoens API til å oppdatere passordet.") Hvis passordene dine ikke er utløpt ennå, gir verktøyet deg to alternativer:
-
Myk tilbakestilling– De gamle og de nye passordene fungerer begge i opptil 10 dager. Bruk denne perioden til å erstatte ISO-filen på nodene gradvis.
-
Hard tilbakestilling – De gamle passordene slutter å fungere umiddelbart.
Hvis passordene utløper uten tilbakestilling, påvirker det HDS-tjenesten din, noe som krever en umiddelbar hard tilbakestilling og erstatning av ISO-filen på alle noder.
Bruk denne fremgangsmåten til å generere en ny ISO-konfigurasjonsfil og bruke den på klyngen.
Før du begynner
-
HDS-installasjonsverktøyet kjører som en Docker-beholder på en lokal maskin. Kjør Docker på maskinen for å få tilgang til den. Installasjonsprosessen krever legitimasjon for en Partner Hub-konto med fullstendige partneradministratorrettigheter.
Hvis HDS-installasjonsverktøyet kjører bak en proxy i miljøet ditt, må du oppgi proxy-innstillingene (server, port, legitimasjon) gjennom Docker-miljøvariablene når du tar opp Docker-beholderen i 1.e. Denne tabellen viser noen mulige miljøvariabler:
Beskrivelse
Variabel
HTTP-proxy uten autentisering
GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORTHTTPS-proxy uten autentisering
GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORTHTTP-proxy med autentisering
GLOBAL_AGENT_HTTP_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORTHTTPS-proxy med autentisering
GLOBAL_AGENT_HTTPS_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT -
Du trenger en kopi av den gjeldende ISO-konfigurasjonsfilen for å generere en ny konfigurasjon. ISO inneholder hovednøkkelen som krypterer PostgreSQL- eller Microsoft SQL Server-databasen. Du trenger ISO når du gjør konfigurasjonsendringer, inkludert databaselegitimasjon, sertifikatoppdateringer eller endringer i godkjenningspolicyen.
| 1 |
Kjør HDS-installasjonsverktøyet ved hjelp av Docker på en lokal maskin. |
| 2 |
Hvis du bare kjører én HDS-node, oppretter du en ny hybrid datasikkerhetsnode VM og registrerer den ved hjelp av den nye ISO-konfigurasjonsfilen. Hvis du vil ha mer detaljerte instruksjoner, kan du se Opprette og registrere flere noder. |
| 3 |
Montere ISO-filen for eksisterende HDS-noder som kjører den eldre konfigurasjonsfilen. Utfør følgende prosedyre på hver node igjen, og oppdater hver node før du slår av neste node: |
| 4 |
Gjenta trinn 3 for å erstatte konfigurasjonen på hver gjenværende node som kjører den gamle konfigurasjonen. |
Slå av blokkert ekstern DNS-oppløsningsmodus
Når du registrerer en node eller sjekker nodens proxy-konfigurasjon, tester prosessen DNS-oppslag og tilkobling til Cisco Webex-skyen. Hvis nodens DNS-server ikke kan løse offentlige DNS-navn, går noden automatisk inn i modus for blokkert ekstern DNS-oppløsning.
Hvis nodene dine kan løse offentlige DNS-navn gjennom interne DNS-servere, kan du slå av denne modusen ved å kjøre proxy-tilkoblingstesten på nytt på hver node.
Før du begynner
| 1 |
Åpne nodegrensesnittet for hybriddatasikkerhet i en nettleser (IP-adresse/oppsett, for eksempel https://192.0.2.0/setup), angi administratorlegitimasjonen du har konfigurert for noden, og klikk deretter på Logg på. |
| 2 |
Gå til Oversikt (standardsiden). Når den er aktivert, settes Blokkert ekstern DNS-oppløsning til Ja. |
| 3 |
Gå til siden Klareringslager og proxy . |
| 4 |
Klikk på Kontroller proxy-tilkobling. Hvis du ser en melding om at den eksterne DNS-oppløsningen ikke var vellykket, kunne ikke noden nå DNS-serveren og vil forbli i denne modusen. Hvis ikke, etter at du har startet noden på nytt og gått tilbake til Oversikt -siden, skal Blokkert ekstern DNS-oppløsning settes til Nei. |
Hva du skal gjøre nå
Fjerne en node
| 1 |
Bruk VMware vSphere-klienten på datamaskinen til å logge på den virtuelle ESXi-verten og slå av den virtuelle maskinen. |
| 2 |
Fjern noden: |
| 3 |
Slett VM-en i vSphere-klienten. (Høyreklikk på VM i venstre navigasjonsrute, og klikk på Slett.) Hvis du ikke sletter VM-en, må du huske å avmontere ISO-konfigurasjonsfilen. Uten ISO-filen kan du ikke bruke VM til å få tilgang til sikkerhetsdataene dine. |
Katastrofegjenoppretting ved hjelp av standbydatasenter
Den mest kritiske tjenesten som din hybride datasikkerhetsklynge tilbyr, er oppretting og lagring av nøkler som brukes til å kryptere meldinger og annet innhold som er lagret i Webex-skyen. For hver bruker i organisasjonen som er tilordnet hybriddatasikkerhet, rutes nye forespørsler om nøkkeloppretting til klyngen. Klyngen er også ansvarlig for å returnere nøklene den er opprettet til brukere som er autorisert til å hente dem, for eksempel medlemmer av et samtaleområde.
Fordi klyngen utfører den kritiske funksjonen med å levere disse nøklene, er det viktig at klyngen forblir i drift og at riktige sikkerhetskopier opprettholdes. Tap av hybriddatasikkerhetsdatabasen eller konfigurasjons-ISO som brukes for skjemaet, vil føre til UGJENOPPRETTELIG TAP av kundeinnhold. Følgende fremgangsmåter er obligatoriske for å forhindre et slikt tap:
Hvis en katastrofe fører til at HDS-distribusjonen i det primære datasenteret blir utilgjengelig, følger du denne fremgangsmåten for å manuelt failover til standbydatasenteret.
Før du begynner
| 1 |
Start HDS-installasjonsverktøyet og følg trinnene som er nevnt i Opprett en konfigurasjons-ISO for HDS-verter. |
| 2 |
Fullfør konfigurasjonsprosessen og lagre ISO-filen på et sted som er lett å finne. |
| 3 |
Ta en sikkerhetskopi av ISO-filen på ditt lokale system. Behold sikkerhetskopien sikker. Denne filen inneholder en hovedkrypteringsnøkkel for databaseinnholdet. Begrens tilgangen til bare de hybriddatasikkerhetsadministratorene som skal foreta konfigurasjonsendringer. |
| 4 |
Høyreklikk på VM i venstre navigasjonsrute til VMware vSphere-klienten, og klikk på Rediger innstillinger. |
| 5 |
Klikk på Rediger innstillinger >CD/DVD-stasjon 1 og velg ISO-fil for datalager. Kontroller at Tilkoblet og Koble til ved påslått er merket av slik at oppdaterte konfigurasjonsendringer kan tre i kraft etter at nodene er startet. |
| 6 |
Slå på HDS-noden og sørg for at det ikke er noen alarmer i minst 15 minutter. |
| 7 |
Registrer noden i Partner Hub. Se Registrer den første noden i klyngen. |
| 8 |
Gjenta prosessen for hver node i standbydatasenteret. |
Hva du skal gjøre nå
(Valgfritt) Fjern ISO etter HDS-konfigurasjon
Standard HDS-konfigurasjon kjøres med ISO-montert. Men noen kunder foretrekker ikke å forlate ISO-filer kontinuerlig montert. Du kan avmontere ISO-filen etter at alle HDS-nodene har tatt opp den nye konfigurasjonen.
Du bruker fortsatt ISO-filene til å foreta konfigurasjonsendringer. Når du oppretter en ny ISO eller oppdaterer en ISO gjennom installasjonsverktøyet, må du montere den oppdaterte ISO-en på alle HDS-nodene dine. Når alle nodene har plukket opp konfigurasjonsendringene, kan du avmontere ISO-en igjen med denne fremgangsmåten.
Før du begynner
Oppgrader alle HDS-nodene dine til versjon 2021.01.22.4720 eller nyere.
| 1 |
Slå av en av HDS-nodene dine. |
| 2 |
Velg HDS-noden i vCenter Server Appliance. |
| 3 |
Velg og fjern merket for ISO-fil for datalager. |
| 4 |
Slå på HDS-noden og sørg for at det ikke er noen alarmer i minst 20 minutter. |
| 5 |
Gjenta for hver HDS-node i sin tur. |
Feilsøke hybrid datasikkerhet
Vis varsler og feilsøking
En distribusjon av hybriddatasikkerhet anses som utilgjengelig hvis alle nodene i klyngen ikke er tilgjengelige, eller klyngen fungerer så sakte at forespørslene blir tidsavbrutt. Hvis brukere ikke kan nå din hybride datasikkerhetsklynge, opplever de følgende symptomer:
-
Nye områder kan ikke opprettes (kan ikke opprette nye nøkler)
-
Meldinger og områdetitler kan ikke dekrypteres for:
-
Nye brukere lagt til i et område (kan ikke hente nøkler)
-
Eksisterende brukere i et område som bruker en ny klient (kan ikke hente nøkler)
-
-
Eksisterende brukere i et område vil fortsette å kjøre vellykket så lenge klientene deres har en hurtigbuffer med krypteringsnøklene
Det er viktig at du overvåker den hybride datasikkerhetsklyngen riktig og adresserer eventuelle varsler umiddelbart for å unngå tjenesteavbrudd.
Varsler
Hvis det er et problem med oppsettet av hybriddatasikkerhet, viser Partner Hub varsler til organisasjonens administrator og sender e-post til den konfigurerte e-postadressen. Varslene dekker mange vanlige scenarier.
|
Varsel |
Handling |
|---|---|
|
Feil ved tilgang til lokal database. |
Se etter databasefeil eller lokale nettverksproblemer. |
|
Feil ved lokal databasetilkobling. |
Kontroller at databaseserveren er tilgjengelig, og at riktig tjenestekontolegitimasjon ble brukt i nodekonfigurasjonen. |
|
Feil ved tilgang til skytjeneste. |
Kontroller at nodene har tilgang til Webex-serverne som angitt i Krav til ekstern tilkobling. |
|
Fornye registrering av skytjeneste. |
Registrering til skytjenester ble avbrutt. Fornyelse av registrering pågår. |
|
Registrering av skytjeneste avbrutt. |
Registrering til skytjenester avsluttet. Tjenesten er stengt. |
|
Tjenesten er ikke aktivert ennå. |
Aktiver HDS i Partner Hub. |
|
Konfigurert domene samsvarer ikke med serversertifikatet. |
Kontroller at serversertifikatet samsvarer med det konfigurerte tjenesteaktiveringsdomenet. Den mest sannsynlige årsaken er at sertifikatets CN nylig ble endret og nå er forskjellig fra CN som ble brukt under den første installasjonen. |
|
Kunne ikke autentisere seg til skytjenester. |
Sjekk for nøyaktighet og mulig utløp av legitimasjon for tjenestekontoen. |
|
Kunne ikke åpne lokal nøkkelbutikkfil. |
Kontroller integritet og passordnøyaktighet på den lokale nøkkelbutikkfilen. |
|
Det lokale serversertifikatet er ugyldig. |
Kontroller serversertifikatets utløpsdato og bekreft at det ble utstedt av en klarert sertifiseringsinstans. |
|
Kan ikke legge ut måledata. |
Kontroller lokal nettverkstilgang til eksterne skytjenester. |
|
/media/configdrive/hds-katalog finnes ikke. |
Kontroller konfigurasjonen av ISO-monteringen på virtuell vert. Kontroller at ISO-filen finnes, at den er konfigurert til å monteres ved omstart, og at den monteres. |
|
Oppsett av leietakerorganisasjon er ikke fullført for de tilførte organisasjonene |
Fullfør oppsettet ved å opprette CMK-er for nylig tillagte leietakerorganisasjoner ved hjelp av HDS-installasjonsverktøyet. |
|
Oppsett av leietakerorganisasjon er ikke fullført for fjernede organisasjoner |
Fullfør oppsettet ved å tilbakekalle CMK-er for leietakerorganisasjoner som ble fjernet ved hjelp av HDS-installasjonsverktøyet. |
Feilsøke hybrid datasikkerhet
| 1 |
Se gjennom Partner Hub for eventuelle varsler og fikse eventuelle elementer du finner der. Se bildet nedenfor for referanse. |
| 2 |
Se gjennom syslog-serverens utdata for aktivitet fra distribusjonen av hybriddatasikkerhet. Filtrer etter ord som "Advarsel" og "Feil" for å hjelpe til med feilsøking. |
| 3 |
Kontakt Ciscos kundestøtte. |
Andre merknader
Kjente problemer for hybrid datasikkerhet
-
Hvis du avslutter klyngen for hybriddatasikkerhet (ved å slette den i Partner Hub eller ved å avslutte alle noder), mister konfigurasjons-ISO-filen eller mister tilgangen til nøkkelbutikkdatabasen, kan ikke Webex-appbrukere i kundeorganisasjoner lenger bruke områder under Personer-listen sin som ble opprettet med nøkler fra KMS. Vi har for øyeblikket ingen løsning eller løsning på dette problemet, og vi oppfordrer deg til ikke å avslutte HDS-tjenestene når de håndterer aktive brukerkontoer.
-
En klient som har en eksisterende ECDH-tilkobling til en KMS opprettholder denne tilkoblingen i en tidsperiode (sannsynligvis én time).
Bruk OpenSSL til å generere en PKCS12-fil
Før du begynner
-
OpenSSL er et verktøy som kan brukes til å lage PKCS12-filen i riktig format for lasting i HDS-installasjonsverktøyet. Det finnes andre måter å gjøre dette på, og vi støtter ikke eller fremmer en måte fremfor en annen.
-
Hvis du velger å bruke OpenSSL, tilbyr vi denne prosedyren som en veiledning for å hjelpe deg med å opprette en fil som oppfyller X.509-sertifikatkravene i X.509-sertifikatkrav. Forstå disse kravene før du fortsetter.
-
Installer OpenSSL i et støttet miljø. Se https://www.openssl.org for programvare og dokumentasjon.
-
Opprett en privat nøkkel.
-
Start denne prosedyren når du mottar serversertifikatet fra Certificate Authority (CA).
| 1 |
Når du mottar serversertifikatet fra din CA, lagrer du det som |
| 2 |
Vis sertifikatet som tekst og bekreft detaljene.
|
| 3 |
Bruk et tekstredigeringsprogram til å opprette en sertifikatbuntfil kalt
|
| 4 |
Opprett .p12-filen med det vennlige navnet
|
| 5 |
Kontroller serversertifikatdetaljene. |
Hva du skal gjøre nå
Gå tilbake til Fullfør forutsetningene for hybrid datasikkerhet. Du bruker hdsnode.p12 -filen og passordet du har angitt for den, i Opprett en konfigurasjons-ISO for HDS-verter.
Du kan bruke disse filene på nytt for å be om et nytt sertifikat når det opprinnelige sertifikatet utløper.
Trafikk mellom HDS-nodene og skyen
Utgående metrikkinnsamlingstrafikk
Nodene for hybriddatasikkerhet sender visse målinger til Webex-skyen. Disse inkluderer systemmålinger for maks. heap, heap brukt, CPU-belastning og antall tråder, målinger på synkrone og asynkrone tråder, målinger på varsler som involverer en terskel for krypteringstilkoblinger, ventetid eller lengde på en forespørselskø, målinger på datalageret og krypteringstilkoblingsmålinger. Nodene sender kryptert nøkkelmateriale over en kanal utenfor båndet (atskilt fra forespørselen).
Innkommende trafikk
Nodene for hybriddatasikkerhet mottar følgende typer innkommende trafikk fra Webex-skyen:
-
Krypteringsforespørsler fra klienter som rutes av krypteringstjenesten
-
Oppgraderinger til nodeprogramvaren
Konfigurere Squid-proxyer for hybriddatasikkerhet
Websocket kan ikke koble til via Squid-proxy
Squid-proxyer som inspiserer HTTPS-trafikk kan forstyrre etableringen av websocket-tilkoblinger (wss:) som hybriddatasikkerhet krever. Disse delene gir veiledning om hvordan du konfigurerer forskjellige versjoner av Squid til å ignorere wss: trafikk for riktig drift av tjenestene.
Squid 4 og 5
Legg til on_unsupported_protocol direktivet i squid.conf:
on_unsupported_protocol tunnel alleSquid 3.5.27
Vi testet hybriddatasikkerhet med følgende regler lagt til i squid.conf. Disse reglene kan endres etter hvert som vi utvikler funksjoner og oppdaterer Webex-skyen.
acl wssMercuryConnection ssl::server_name_regex mercury-tilkobling ssl_bump splice wssMercuryConnection acl step1 at_step SslBump1 acl step2 at_step SslBump2 acl step3 at_step SslBump3 ssl_bump titte step1 alle ssl_bump stirre step2 alle ssl_bump bump step3 alleNy og endret informasjon
Ny og endret informasjon
Denne tabellen dekker nye funksjoner eller funksjonalitet, endringer i eksisterende innhold og eventuelle større feil som ble rettet i Distribusjonsveiledningen for hybrid datasikkerhet for flere leietakere.
|
Dato |
Endringer gjort |
|---|---|
| 16. april 2026 |
|
| 25. mars 2026 |
|
|
5. desember 2025 |
|
|
21. november 2025 |
|
|
8. mai 2025 |
|
| 4. mars 2025 |
|
|
30. januar 2025 |
La til SQL Server versjon 2022 i listen over støttede SQL-servere i Krav til databaseserver. |
|
15. januar 2025 |
Lagt til Begrensninger for hybrid datasikkerhet med flere leietakere. |
|
8. januar 2025 |
La til et notat i Utfør første oppsett og last ned installasjonsfiler som sier at det å klikke på Konfigurer på HDS-kortet i Partner Hub er et viktig trinn i installasjonsprosessen. |
|
7. januar 2025 |
Oppdaterte Krav til virtuell vert, Oppgaveflyt for distribusjon av hybrid datasikkerhetog Installer HDS-verten OVA for å vise de nye kravene til ESXi 7.0. |
|
13. desember 2024 |
Først publisert. |
Deaktiver hybrid datasikkerhet for flere leietakere
Oppgaveflyt for deaktivering av HDS for flere leietakere
Følg disse trinnene for å deaktivere HDS med flere leietakere fullstendig.
Før du begynner
| 1 |
Fjern alle kunder fra alle klyngene dine, som nevnt i Fjern leietakerorganisasjoner. |
| 2 |
Tilbakekalle CMK-ene til alle kunder, som nevnt i Tilbakekalle CMK-er for leietakere fjernet fra HDS.. |
| 3 |
Fjern alle noder fra alle klyngene dine, som nevnt i Fjern en node. |
| 4 |
Slett alle klyngene dine fra Partner Hub ved hjelp av én av følgende to metoder.
|
| 5 |
Klikk på fanen Innstillinger på oversiktssiden for hybrid datasikkerhet, og klikk på Deaktiver HDS på HDS-statuskortet. |
Ofte stilte spørsmål
Ofte stilte spørsmål
Q. Lagres CMK-ene og hovednøkkelen i ISO-filen eller i databasen?
EN. Kundens hovednøkler (CMK-er) lagres i databasen og krypteres med hovednøkkelen, som er lagret i ISO-en.
Q. Brukes én nøkkel til å kryptere alle dataene til kundeorganisasjoner?
EN. Nei. Hver kundeorganisasjons data er kryptert med sin egen CMK (kundens hovednøkkel).
Q. Hva skjer hvis jeg deaktiverer HDS fra Partner Hub?
EN. Enkelte operasjoner, som å opprette et lokale og planlegge møter, vil bli påvirket umiddelbart. Eksisterende innhold i områder vil være tilgjengelig inntil den lokale hurtigbufferen utløper. Etter 24 timer vil brukere som administreres av partneren bytte til Cloud KMS, og det kan oppstå problemer med tidligere opprettede områder og én-til-én-områder.
Q. Når CMK-en er generert for en kundeorganisasjon via HDS-oppsettverktøyet, begynner brukerne av kundeorganisasjonen umiddelbart å bruke Multi-Tenant HDS?
EN. Det kan være en maksimal forsinkelse på 24 timer før skybufferen oppdateres.
Q. Hvorfor ser jeg ikke en liste over kunder når jeg klikker på «Legg til kunder»-knappen i Partner Hub?
EN. Dette betyr vanligvis at det ikke finnes noen kundeorganisasjoner som oppfyller Cisco Webex-lisenskravene.
Spørsmål: Hva blir konsekvensen hvis alle HDS-noder stenges ned, eller hvis et nettverksproblem påvirker alle HDS-noder?
EN. Operasjoner som å opprette rom og planlegge møter påvirkes umiddelbart. Eksisterende innhold er bare tilgjengelig inntil den lokale hurtigbufferen utløper.
Q. Er partnerorganisasjonens brukerdata kryptert med hovednøkkelen som ble generert under ISO-opprettelsen?
EN. Ja. For øyeblikket er partnerorganisasjonens brukerdata kryptert med hovednøkkelen. I fremtiden vil partnerorganisasjoner ha partnerspesifikke nøkler, i likhet med kundenes CMK-er.
Spørsmål: Kan partnerorganisasjonen og leietakerorganisasjonene være i forskjellige regioner (for eksempel USA og EU)?
EN. Ja. Partner- og leietakerorganisasjoner kan være lokalisert i forskjellige geografiske regioner.
Spørsmål: Finnes det noen mekanisme for å flytte nøkler tilbake til Cloud KMS?
EN. Det finnes ingen mekanisme for å flytte nøkler tilbake til skyen etter en HDS-distribusjon.
Spørsmål: Kan en partner fortsette å bruke Cloud KMS og utelukkende bruke Multi-Tenant HDS til å administrere kunder?
EN. Nei, dette støttes ikke for øyeblikket. Støtte for denne funksjonaliteten er planlagt for fremtiden.
Spørsmål: Hvordan kan en partner bekrefte at organisasjonen deres bruker Multi-Tenant HDS for kryptering?
EN. Logg inn på Partner Hub. Gå til Tjenester > Hybrid datasikkerhet > Innstillinger . Hvis HDS-status er aktivert, bruker brukere av partnerorganisasjonen samt tildelte kunder HDS med flere leietakere.
Alternativt kan du sjekke sysloggene dine for å bekrefte at HDS er aktivert. Se Test hybrid datasikkerhetsimplementering.
Spørsmål: Finnes det et alternativ til Docker Desktop for å kjøre HDS-oppsettverktøyet?
EN. Ja. Podman Desktop er et åpen kildekode-alternativ til Docker Desktop. Se Kjør HDS-oppsettverktøyet med Podman Desktop.
Q. Hvor mange noder kan jeg distribuere i en HDS-klynge med flere leietakere?
EN. Vi anbefaler minimum to noder og maksimum 1000.
Q. Hva er nettverkskravene som kreves for å sette opp Multi-Tenant HDS?
EN. Se Krav til ekstern tilkobling.
Q. Er Pro Pack for Control Hub et krav for partnerorganisasjoner?
EN. Nei. Pro Pack er ikke et krav for partnerorganisasjoner. Kontakt Cisco-partneren eller kontoansvarlig for å få hjelp med å konfigurere Multi-Tenant HDS.
Spørsmål: Støttes HSM i HDS med flere leietakere?
EN. Nei, for øyeblikket støtter ikke Multi-Tenant HDS HSM.
Q. Kan jeg teste flerbruker-HDS med et selvsignert sertifikat?
EN. Nei. Multi-Tenant HDS krever et sertifikat hentet fra en klarert CA som oppfyller alle kravene nevnt i X.509-sertifikatkrav.
Spørsmål: Er det nødvendig å montere ISO-en hver gang en ny kunde legges til i Partner Hub?
EN. Nei. ISO-en trenger bare å monteres når du endrer ISO-konfigurasjoner. Når du legger til en ny kunde i Partner Hub, må du sørge for at du kan opprette CMK-er ved hjelp av HDS-oppsettverktøyet. Se Opprett kundens hovednøkler (CMK-er) ved hjelp av HDS-oppsettverktøyet.
Q. Etter at Multi-Tenant HDS er distribuert på Partner Hub, begynner brukere av partnerorganisasjonen å bruke lokale KMS for nøkkeladministrasjon?
EN. Brukere vil bare begynne å bruke lokale KMS for nøkkeladministrasjon etter at HDS er aktivert i Partner Hub.
Kom i gang med hybrid datasikkerhet for flere leietakere
Oversikt over hybrid datasikkerhet for flere leietakere
Fra dag én har datasikkerhet vært hovedfokuset i utformingen av Webex-appen. Hjørnesteinen i denne sikkerheten er ende-til-ende-innholdskryptering, aktivert av Webex-appklienter som samhandler med nøkkelhåndteringstjenesten (KMS). KMS-et er ansvarlig for å opprette og administrere kryptografiske nøkler som klienter bruker til å dynamisk kryptere og dekryptere meldinger og filer.
Som standard får alle Webex-appkunder ende-til-ende-kryptering med dynamiske nøkler lagret i sky-KMS, i Ciscos sikkerhetsområde. Hybrid datasikkerhet flytter KMS-systemet og andre sikkerhetsrelaterte funksjoner til bedriftens datasenter, slik at ingen andre enn deg har nøklene til det krypterte innholdet.
Hybrid datasikkerhet for flere leietakere lar organisasjoner utnytte HDS gjennom en pålitelig lokal partner, som kan fungere som en tjenesteleverandør og administrere lokal kryptering og andre sikkerhetstjenester. Dette oppsettet gir partnerorganisasjonen full kontroll over distribusjon og administrasjon av krypteringsnøkler og sikrer at brukerdata fra kundeorganisasjoner er trygge fra ekstern tilgang. Partnerorganisasjoner setter opp HDS-instanser og oppretter HDS-klynger etter behov. Hver instans kan støtte flere kundeorganisasjoner, i motsetning til en vanlig HDS-distribusjon som er begrenset til én enkelt organisasjon.
Dette gjør det også mulig for mindre organisasjoner å utnytte HDS, siden nøkkelhåndteringstjenester og sikkerhetsinfrastruktur som datasentre eies av den pålitelige lokale partneren.
Hvordan hybrid datasikkerhet med flere leietakere gir datasuverenitet og datakontroll
- Brukergenerert innhold er beskyttet mot ekstern tilgang, som fra skytjenesteleverandører.
- Lokale betrodde partnere administrerer krypteringsnøklene til kunder de allerede har et etablert forhold til.
- Mulighet for lokal teknisk støtte, hvis partneren tilbyr dette.
- Støtter møter, meldinger og samtaleinnhold.
Dette dokumentet har som mål å hjelpe partnerorganisasjoner med å sette opp og administrere kunder under et hybrid datasikkerhetssystem for flere leietakere.
Begrensninger ved hybrid datasikkerhet for flere leietakere
- Partnerorganisasjoner må ikke ha noen eksisterende HDS-distribusjon aktiv i Control Hub.
- Leietaker- eller kundeorganisasjoner som ønsker å bli administrert av en partner, må ikke ha noen eksisterende HDS-distribusjon i Control Hub.
- Når Multi-Tenant HDS er distribuert av partneren, begynner alle brukere av kundeorganisasjoner samt brukere av partnerorganisasjonen å bruke Multi-Tenant HDS for sine krypteringstjenester.
Partnerorganisasjonen og kundeorganisasjonene de administrerer vil være på samme Multi-Tenant HDS-distribusjon.
Partnerorganisasjonen vil ikke lenger bruke skybasert KMS etter at Multi-Tenant HDS er distribuert.
- Det finnes ingen mekanisme for å flytte nøkler tilbake til Cloud KMS etter en HDS-distribusjon.
- Administratorroller har visse begrensninger. Se avsnittet nedenfor for detaljer.
Roller i hybrid datasikkerhet med flere leietakere
- Fullstendig partneradministrator – Kan administrere innstillinger for alle kunder som partneren administrerer. Kan også tilordne administratorroller til eksisterende brukere i organisasjonen og tilordne bestemte kunder som skal administreres av partneradministratorer.
- Partneradministrator – Kan administrere innstillinger for kunder som administratoren har klargjort eller som er tilordnet brukeren.
- Full administrator – Administrator for partnerorganisasjonen som er autorisert til å utføre oppgaver som å endre organisasjonsinnstillinger, administrere lisenser og tildele roller.
- Oppsett og administrasjon av komplett HDS for flere leietakere for alle kundeorganisasjoner – Full administratorrettigheter for partnere kreves.
- Administrasjon av tildelte leietakerorganisasjoner - Partneradministrator og fulle administratorrettigheter kreves.
Sikkerhetsrikets arkitektur
Webex-skyarkitekturen skiller ulike typer tjenester inn i separate områder, eller tillitsdomener, som vist nedenfor.
For å forstå hybrid datasikkerhet bedre, la oss først se på dette rene skytilfellet, der Cisco tilbyr alle funksjoner i skyverdenen sin. Identitetstjenesten, det eneste stedet hvor brukere kan bli direkte korrelert med sin personlige informasjon, som for eksempel e-postadresse, er logisk og fysisk atskilt fra sikkerhetsområdet i datasenter B. Begge er igjen atskilt fra området der kryptert innhold til slutt lagres, i datasenter C.
I dette diagrammet er klienten Webex-appen som kjører på en brukers bærbare datamaskin, og som har autentisert seg med identitetstjenesten. Når brukeren skriver en melding som skal sendes til et rom, skjer følgende trinn:
-
Klienten oppretter en sikker forbindelse med nøkkelhåndteringstjenesten (KMS), og ber deretter om en nøkkel for å kryptere meldingen. Den sikre forbindelsen bruker ECDH, og KMS krypterer nøkkelen med en AES-256-hovednøkkel.
-
Meldingen krypteres før den forlater klienten. Klienten sender den til indekseringstjenesten, som oppretter krypterte søkeindekser for å hjelpe til med fremtidige søk etter innholdet.
-
Den krypterte meldingen sendes til samsvarstjenesten for samsvarskontroller.
-
Den krypterte meldingen lagres i lagringsområdet.
Når du distribuerer hybrid datasikkerhet, flytter du sikkerhetsfunksjonene (KMS, indeksering og samsvar) til ditt lokale datasenter. De andre skytjenestene som utgjør Webex (inkludert identitets- og innholdslagring) forblir i Ciscos område.
Samarbeid med andre organisasjoner
Brukere i organisasjonen din kan regelmessig bruke Webex-appen til å samarbeide med eksterne deltakere i andre organisasjoner. Når en av brukerne dine ber om en nøkkel til et område som eies av organisasjonen din (fordi det ble opprettet av en av brukerne dine), sender KMS-systemet ditt nøkkelen til klienten via en ECDH-sikret kanal. Men når en annen organisasjon eier nøkkelen for plassen, ruter KMS-systemet ditt forespørselen ut til Webex-skyen gjennom en separat ECDH-kanal for å hente nøkkelen fra det aktuelle KMS-systemet, og returnerer deretter nøkkelen til brukeren på den opprinnelige kanalen.
KMS-tjenesten som kjører på organisasjon A validerer tilkoblingene til KMS-er i andre organisasjoner ved hjelp av x.509 PKI-sertifikater. Se Klargjør miljøet ditt for detaljer om hvordan du genererer et x.509-sertifikat som skal brukes med din Multi-Tenant Hybrid Data Security-distribusjon.
Forventninger til implementering av hybrid datasikkerhet
En implementering av hybrid datasikkerhet krever betydelig forpliktelse og en bevissthet om risikoene som følger med å eie krypteringsnøkler.
For å implementere hybrid datasikkerhet må du oppgi:
-
Et sikkert datasenter i et land som er et støttet sted for Cisco Webex Teams-abonnementene.
-
Utstyret, programvaren og nettverkstilgangen som er beskrevet i Klargjør miljøet ditt.
Fullstendig tap av enten konfigurasjons-ISO-en du bygger for Hybrid Data Security eller databasen du oppgir, vil føre til tap av nøklene. Nøkkeltap hindrer brukere i å dekryptere plassinnhold og andre krypterte data i Webex-appen. Hvis dette skjer, kan du bygge en ny distribusjon, men bare nytt innhold vil være synlig. For å unngå tap av tilgang til data, må du:
-
Administrer sikkerhetskopiering og gjenoppretting av databasen og konfigurasjons-ISO-en.
-
Vær forberedt på å utføre rask katastrofegjenoppretting hvis en katastrofe inntreffer, for eksempel feil på databasedisken eller datasenterkatastrofe.
Det finnes ingen mekanisme for å flytte nøkler tilbake til skyen etter en HDS-distribusjon.
Høynivåoppsettprosess
Dette dokumentet dekker oppsett og administrasjon av en hybrid datasikkerhetsdistribusjon med flere leietakere:
-
Konfigurer hybrid datasikkerhet– Dette inkluderer å forberede nødvendig infrastruktur og installere hybrid datasikkerhetsprogramvare, bygge en HDS-klynge, legge til leietakerorganisasjoner i klyngen og administrere kundens hovednøkler (CMK-er). Dette vil gjøre det mulig for alle brukere i kundeorganisasjonene dine å bruke hybriddatasikkerhetsklyngen din til sikkerhetsfunksjoner.
Oppsett-, aktiverings- og administrasjonsfasene dekkes i detalj i de neste tre kapitlene.
-
Vedlikehold din hybride datasikkerhetsdistribusjon– Webex-skyen tilbyr automatisk kontinuerlige oppgraderinger. IT-avdelingen din kan tilby støtte på nivå én for denne utrullingen, og engasjere Cisco-støtte etter behov. Du kan bruke varsler på skjermen og konfigurere e-postbaserte varsler i Partner Hub.
-
Forstå vanlige varsler, feilsøkingstrinn og kjente problemer– Hvis du støter på problemer med å distribuere eller bruke Hybrid Data Security, kan det siste kapittelet i denne veiledningen og tillegget om kjente problemer hjelpe deg med å finne og løse problemet.
Hybrid distribusjonsmodell for datasikkerhet
Innenfor bedriftens datasenter distribuerer du Hybrid Data Security som en enkelt klynge av noder på separate virtuelle verter. Nodene kommuniserer med Webex-skyen via sikre websockets og sikker HTTP.
Under installasjonsprosessen gir vi deg OVA-filen for å konfigurere den virtuelle enheten på de virtuelle maskinene du stiller til rådighet. Du bruker HDS-oppsettverktøyet til å opprette en tilpasset ISO-fil for klyngekonfigurasjon som du monterer på hver node. Hybrid Data Security-klyngen bruker den oppgitte Syslogd-serveren og PostgreSQL- eller Microsoft SQL Server-databasen. (Du konfigurerer Syslogd og databasetilkoblingsdetaljene i HDS-oppsettverktøyet.)
Minimum antall noder du kan ha i en klynge er to. Vi anbefaler minst tre per klynge. Å ha flere noder sikrer at tjenesten ikke avbrytes under en programvareoppgradering eller annen vedlikeholdsaktivitet på en node. (Webex-skyen oppgraderer bare én node om gangen.)
Alle noder i en klynge har tilgang til det samme nøkkeldatalageret og logger aktivitet til den samme syslog-serveren. Selve nodene er statsløse og håndterer viktige forespørsler i runde-robin-modus, som anvist av skyen.
Noder blir aktive når du registrerer dem i Partner Hub. For å ta en individuell node ut av drift, kan du avregistrere den og senere registrere den på nytt om nødvendig.
Standby-datasenter for katastrofegjenoppretting
Under utrullingen setter du opp et sikkert reservedatasenter. I tilfelle en datasenterkatastrofe kan du manuelt overføre utrullingen til reservedatasenteret.
Databasene til de aktive og standby-datasentrene er synkroniserte med hverandre, noe som vil minimere tiden det tar å utføre failover.
De aktive Hybrid Data Security-nodene må alltid være i samme datasenter som den aktive databaseserveren.
Sett opp et reservedatasenter for katastrofegjenoppretting
Følg trinnene nedenfor for å konfigurere ISO-filen til standby-datasenteret:
Før du begynner
-
Standby-datasenteret bør speile produksjonsmiljøet til virtuelle maskiner og en sikkerhetskopi av PostgreSQL- eller Microsoft SQL Server-database. Hvis for eksempel produksjonen har 3 virtuelle maskiner som kjører HDS-noder, bør sikkerhetskopieringsmiljøet ha 3 virtuelle maskiner. (Se Standby-datasenter for katastrofegjenoppretting for en oversikt over denne failover-modellen.)
-
Sørg for at databasesynkronisering er aktivert mellom databasen til aktive og passive klyngenoder.
| 1 |
Start HDS-oppsettverktøyet og følg trinnene som er nevnt i Opprett en konfigurasjons-ISO for HDS-vertene. ISO-filen må være en kopi av den originale ISO-filen til det primære datasenteret som følgende konfigurasjonsoppdateringer skal gjøres på. |
| 2 |
Etter at du har konfigurert Syslogd-serveren, klikker du på Avanserte innstillinger |
| 3 |
På siden Avanserte innstillinger legger du til konfigurasjonen nedenfor for å sette noden i passiv modus. I denne modusen vil noden være registrert i organisasjonen og koblet til skyen, men vil ikke håndtere noen trafikk.
|
| 4 |
Fullfør konfigurasjonsprosessen og lagre ISO-filen på et sted som er lett å finne. |
| 5 |
Lag en sikkerhetskopi av ISO-filen på ditt lokale system. Oppbevar sikkerhetskopien sikkert. Denne filen inneholder en hovedkrypteringsnøkkel for databaseinnholdet. Begrens tilgangen til kun de administratorene for hybrid datasikkerhet som skal gjøre konfigurasjonsendringer. |
| 6 |
I VMware vSphere-klientens venstre navigasjonsrute høyreklikker du på den virtuelle maskinen og klikker på Rediger innstillinger.. |
| 7 |
Klikk på Rediger innstillinger >CD/DVD Stasjon 1 og velg Datastore ISO-fil. Sørg for at Tilkoblet og Koble til ved oppstart er avmerket, slik at oppdaterte konfigurasjonsendringer kan tre i kraft etter at nodene har startet. |
| 8 |
Slå på HDS-noden og sørg for at det ikke er noen alarmer på minst 15 minutter. |
| 9 |
Gjenta prosessen for hver node i standby-datasenteret. Sjekk sysloggene for å bekrefte at nodene er i passiv modus. Du skal kunne se meldingen «KMS konfigurert i passiv modus» i sysloggene. |
Hva du skal gjøre nå
Etter at du har konfigurert passiveMode i ISO-filen og lagret den, kan du opprette en ny kopi av ISO-filen uten passiveMode -konfigurasjonen og lagre den på et sikkert sted. Denne kopien av ISO-filen uten passiveMode konfigurert kan bidra til en rask failover-prosess under katastrofegjenoppretting. Se Katastrofegjenoppretting ved bruk av Standby Data Center for den detaljerte failover-prosedyren.
Proxy-støtte
Hybrid datasikkerhet støtter eksplisitte, transparente inspiserende og ikke-inspiserende proxyer. Du kan knytte disse proxy-tjenerne til distribusjonen din, slik at du kan sikre og overvåke trafikk fra bedriften og ut til skyen. Du kan bruke et plattformadministratorgrensesnitt på nodene for sertifikatadministrasjon og for å sjekke den generelle tilkoblingsstatusen etter at du har konfigurert proxyen på nodene.
Hybrid Data Security-nodene støtter følgende proxy-alternativer:
-
Ingen proxy– Standardinnstillingen hvis du ikke bruker HDS-nodeoppsettet Trust Store & Proxy-konfigurasjon for å integrere en proxy. Ingen sertifikatoppdatering er nødvendig.
-
Transparent ikke-inspiserende proxy– Nodene er ikke konfigurert til å bruke en spesifikk proxy-serveradresse og skal ikke kreve noen endringer for å fungere med en ikke-inspiserende proxy. Ingen sertifikatoppdatering er nødvendig.
-
Transparent tunnelering eller inspeksjon av proxy– Nodene er ikke konfigurert til å bruke en spesifikk proxy-serveradresse. Ingen endringer i HTTP- eller HTTPS-konfigurasjonen er nødvendige på nodene. Nodene trenger imidlertid et rotsertifikat slik at de stoler på proxyen. Inspeksjon av proxyer brukes vanligvis av IT for å håndheve retningslinjer for hvilke nettsteder som kan besøkes og hvilke typer innhold som ikke er tillatt. Denne typen proxy dekrypterer all trafikken din (til og med HTTPS).
-
Eksplisitt proxy– Med eksplisitt proxy forteller du HDS-nodene hvilken proxy-server og autentiseringsskjema de skal bruke. For å konfigurere en eksplisitt proxy, må du angi følgende informasjon på hver node:
-
Proxy IP/FQDN– Adresse som kan brukes til å nå proxy-maskinen.
-
Proxy-port– Et portnummer som proxyen bruker til å lytte etter proxy-trafikk.
-
Proxy-protokoll– Avhengig av hva proxy-serveren din støtter, kan du velge mellom følgende protokoller:
-
HTTP – Viser og kontrollerer alle forespørsler som klienten sender.
-
HTTPS – Gir en kanal til serveren. Klienten mottar og validerer serverens sertifikat.
-
-
Autentiseringstype– Velg blant følgende autentiseringstyper:
-
Ingen– Ingen ytterligere autentisering er nødvendig.
Tilgjengelig hvis du velger enten HTTP eller HTTPS som proxy-protokoll.
-
Grunnleggende– Brukes av en HTTP-brukeragent for å oppgi brukernavn og passord når en forespørsel sendes. Bruker Base64-koding.
Tilgjengelig hvis du velger enten HTTP eller HTTPS som proxy-protokoll.
Krever at du oppgir brukernavn og passord på hver node.
-
Sammendrag– Brukes til å bekrefte kontoen før sensitiv informasjon sendes. Bruker en hash-funksjon på brukernavnet og passordet før sending over nettverket.
Bare tilgjengelig hvis du velger HTTPS som proxy-protokoll.
Krever at du oppgir brukernavn og passord på hver node.
-
-
Eksempel på hybride datasikkerhetsnoder og proxy
Dette diagrammet viser et eksempel på en tilkobling mellom Hybrid Data Security, nettverket og en proxy. For proxy-alternativene for transparent inspeksjon og HTTPS-eksplisitt inspeksjon må det samme rotsertifikatet installeres på proxyen og på Hybrid Data Security-nodene.
Blokkert ekstern DNS-oppløsningsmodus (eksplisitte proxy-konfigurasjoner)
Når du registrerer en node eller sjekker nodens proxy-konfigurasjon, tester prosessen DNS-oppslag og tilkobling til Cisco Webex-skyen. I distribusjoner med eksplisitte proxy-konfigurasjoner som ikke tillater ekstern DNS-løsning for interne klienter, går noden automatisk inn i modus for blokkert ekstern DNS-løsning hvis den ikke kan spørre DNS-serverne. I denne modusen kan noderegistrering og andre proxy-tilkoblingstester fortsette.
Forbered miljøet ditt
Krav til hybrid datasikkerhet for flere leietakere
Krav til Cisco Webex-lisens
Slik distribuerer du hybrid datasikkerhet for flere leietakere:
-
Partnerorganisasjoner: Kontakt Cisco-partneren eller kontoansvarlig din, og sørg for at flerleietakerfunksjonen er aktivert.
-
Leietakerorganisasjoner: Du må ha Pro Pack for Cisco Webex Control Hub. (Se https://www.cisco.com/go/pro-pack.)
Krav til Docker-skrivebordet
Før du installerer HDS-nodene dine, trenger du Docker Desktop for å kjøre et installasjonsprogram. Docker har nylig oppdatert lisensmodellen sin. Organisasjonen din kan kreve et betalt abonnement for Docker Desktop. For mer informasjon, se Docker-blogginnlegget « Docker oppdaterer og utvider produktabonnementene våre».
Kunder uten Docker Desktop-lisens kan bruke et åpen kildekode-verktøy for containeradministrasjon som Podman Desktop til å kjøre, administrere og opprette containere. Se Kjør HDS-oppsettverktøyet med Podman Desktop for detaljer.
Krav til X.509-sertifikat
Sertifikatkjeden må oppfylle følgende krav:
|
Behov |
Detaljer |
|---|---|
|
Som standard stoler vi på CA-ene i Mozilla-listen (med unntak av WoSign og StartCom) på https://wiki.mozilla.org/CA:IncludedCAs. |
|
CN-en trenger ikke å være tilgjengelig eller en live vert. Vi anbefaler at du bruker et navn som gjenspeiler organisasjonen din, for eksempel KN-en må ikke inneholde en * (jokertegn). CN-en brukes til å bekrefte hybriddatasikkerhetsnodene til Webex-appklienter. Alle hybriddatasikkerhetsnodene i klyngen din bruker det samme sertifikatet. KMS-systemet ditt identifiserer seg ved hjelp av CN-domenet, ikke et hvilket som helst domene som er definert i x.509v3 SAN-feltene. Når du har registrert en node med dette sertifikatet, støtter vi ikke endring av CN-domenenavnet. |
|
KMS-programvaren støtter ikke SHA1-signaturer for validering av tilkoblinger til andre organisasjoners KMS-er. |
|
Du kan bruke en konverter som OpenSSL for å endre formatet på sertifikatet ditt. Du må oppgi passordet når du kjører HDS-oppsettverktøyet. |
KMS-programvaren håndhever ikke begrensninger for nøkkelbruk eller utvidede nøkkelbruk. Noen sertifikatmyndigheter krever at utvidede begrensninger for nøkkelbruk legges til grunn for hvert sertifikat, for eksempel serverautentisering. Det er greit å bruke serverautentisering eller andre innstillinger.
Krav til virtuelle verter
De virtuelle vertene du skal sette opp som hybride datasikkerhetsnoder i klyngen din, har følgende krav:
-
Minst to separate verter (3 anbefalt) samlokalisert i samme sikre datasenter
-
VMware ESXi 7.0 eller 8.0 installert og kjører.
Du må oppgradere hvis du har en tidligere versjon av ESXi.
-
Minimum 4 vCPU-er, 8 GB hovedminne, 30 GB lokal harddiskplass per server
Krav til databaseserver
Opprett en ny database for nøkkellagring. Ikke bruk standarddatabasen. HDS-applikasjonene oppretter databaseskjemaet når de er installert.
Det finnes to alternativer for databaseserveren. Kravene for hver av dem er som følger:
|
PostgreSQL |
Microsoft SQL Server |
|---|---|
|
|
|
Minimum 8 vCPU-er, 16 GB hovedminne, tilstrekkelig harddiskplass og overvåking for å sikre at den ikke overskrides (2 TB anbefales hvis du vil kjøre databasen over lengre tid uten å måtte øke lagringsplassen) |
Minimum 8 vCPU-er, 16 GB hovedminne, tilstrekkelig harddiskplass og overvåking for å sikre at den ikke overskrides (2 TB anbefales hvis du vil kjøre databasen over lengre tid uten å måtte øke lagringsplassen) |
HDS-programvaren installerer for øyeblikket følgende driverversjoner for kommunikasjon med databaseserveren:
|
PostgreSQL |
Microsoft SQL Server |
|---|---|
|
Postgres JDBC-driver 42.2.5 |
SQL Server JDBC-driver 4.6 Denne driverversjonen støtter SQL Server Always On ( Always On Failover Cluster Instances og Always On tilgjengelighetsgrupper). |
Ytterligere krav for Windows-autentisering mot Microsoft SQL Server
Hvis du vil at HDS-noder skal bruke Windows-autentisering for å få tilgang til nøkkeldatabasen din på Microsoft SQL Server, trenger du følgende konfigurasjon i miljøet ditt:
-
HDS-nodene, Active Directory-infrastrukturen og MS SQL Server må alle synkroniseres med NTP.
-
Windows-kontoen du oppgir til HDS-noder må ha read/write tilgang til databasen.
-
DNS-serverne du tilbyr HDS-noder må kunne løse nøkkeldistribusjonssenteret ditt (KDC).
-
Du kan registrere HDS-databaseforekomsten på Microsoft SQL Server som et Service Principal Name (SPN) i Active Directory. Se Registrer et tjenestehovednavn for Kerberos-tilkoblinger.
HDS-oppsettverktøyet, HDS-startprogrammet og det lokale KMS-systemet må alle bruke Windows-autentisering for å få tilgang til nøkkellagerdatabasen. De bruker detaljene fra ISO-konfigurasjonen din til å konstruere SPN-en når de ber om tilgang med Kerberos-autentisering.
Krav til eksterne tilkoblinger
Konfigurer brannmuren din til å tillate følgende tilkobling for HDS-applikasjonene:
|
Søknad |
Protokoll |
Havn |
Veibeskrivelse fra appen |
Destinasjon |
|---|---|---|---|---|
|
Hybride datasikkerhetsnoder |
TCP |
443 |
Utgående HTTPS og WSS |
|
|
HDS-oppsettverktøy |
TCP |
443 |
Utgående HTTPS |
|
Hybrid Data Security-nodene fungerer med nettverkstilgangsoversettelse (NAT) eller bak en brannmur, så lenge NAT-en eller brannmuren tillater de nødvendige utgående tilkoblingene til domenemålene i den foregående tabellen. For tilkoblinger som går inn til Hybrid Data Security-nodene, skal ingen porter være synlige fra Internett. Innenfor datasenteret ditt trenger klienter tilgang til Hybrid Data Security-nodene på TCP-portene 443 og 22 for administrative formål.
URL-ene for CI-vertene (Common Identity) er regionspesifikke. Dette er de nåværende CI-vertene:
|
Region |
Felles identitetsverts-URL-er |
|---|---|
|
Amerika |
|
|
Den europeiske union |
|
|
Canada |
|
| Singapore |
|
| De forente arabiske emirater |
|
Krav til proxy-server
-
Vi støtter offisielt følgende proxy-løsninger som kan integreres med dine hybride datasikkerhetsnoder.
-
Gjennomsiktig proxy – Cisco Web Security Appliance (WSA).
-
Eksplisitt proxy – blekksprut.
Squid-proxyer som inspiserer HTTPS-trafikk kan forstyrre etableringen av websocket (wss:) forbindelser. For å omgå dette problemet, se Konfigurer Squid-proxyer for hybrid datasikkerhet.
-
-
Vi støtter følgende autentiseringstypekombinasjoner for eksplisitte proxyer:
-
Ingen autentisering med HTTP eller HTTPS
-
Grunnleggende autentisering med HTTP eller HTTPS
-
Digest-autentisering kun med HTTPS
-
-
For en transparent inspiserende proxy eller en eksplisitt HTTPS-proxy må du ha en kopi av proxyens rotsertifikat. Distribusjonsinstruksjonene i denne veiledningen forteller deg hvordan du laster opp kopien til Hybrid Data Security-nodenes klareringslagre.
-
Nettverket som er vert for HDS-nodene må konfigureres til å tvinge utgående TCP-trafikk på port 443 til å rutes gjennom proxyen.
-
Proxyer som inspiserer webtrafikk kan forstyrre web socket-tilkoblinger. Hvis dette problemet oppstår, vil det å omgå (ikke inspisere) trafikk til
wbx2.comogciscospark.comløse problemet.
Fullfør forutsetningene for hybrid datasikkerhet
| 1 |
Sørg for at partnerorganisasjonen din har Multi-Tenant HDS-funksjonen aktivert, og hent legitimasjonen til en konto med partnerrettigheter og fulle administratorrettigheter. Sørg for at Webex-kundeorganisasjonen din er aktivert for Pro Pack for Cisco Webex Control Hub. Kontakt din Cisco-partner eller kontoansvarlige for å få hjelp med denne prosessen. Kundeorganisasjoner skal ikke ha noen eksisterende HDS-distribusjon. |
| 2 |
Velg et domenenavn for HDS-distribusjonen din (for eksempel |
| 3 |
Forbered identiske virtuelle verter som du vil konfigurere som hybride datasikkerhetsnoder i klyngen din. Du trenger minst to separate verter (3 anbefales) samlokalisert i samme sikre datasenter, som oppfyller kravene i Krav til virtuelle verter. |
| 4 |
Klargjør databaseserveren som skal fungere som nøkkeldatalager for klyngen, i henhold til Databaseserverkrav. Databaseserveren må være samlokalisert i det sikre datasenteret med de virtuelle vertene. |
| 5 |
For rask gjenoppretting etter katastrofer, sett opp et sikkerhetskopieringsmiljø i et annet datasenter. Sikkerhetskopieringsmiljøet speiler produksjonsmiljøet til virtuelle maskiner og en sikkerhetskopieringsdatabaseserver. Hvis for eksempel produksjonen har 3 virtuelle maskiner som kjører HDS-noder, bør sikkerhetskopieringsmiljøet ha 3 virtuelle maskiner. |
| 6 |
Konfigurer en syslog-vert for å samle inn logger fra nodene i klyngen. Hent nettverksadressen og syslog-porten (standard er UDP 514). |
| 7 |
Opprett en sikker sikkerhetskopieringspolicy for Hybrid Data Security-nodene, databaseserveren og syslog-verten. For å forhindre uopprettelig datatap må du som et minimum sikkerhetskopiere databasen og ISO-konfigurasjonsfilen som er generert for Hybrid Data Security-nodene. Fordi hybride datasikkerhetsnoder lagrer nøklene som brukes i kryptering og dekryptering av innhold, vil manglende opprettholdelse av en operativ distribusjon føre til UOPPRETTBART TAP av innholdet. Webex-appklienter bufrer nøklene sine, så et driftsavbrudd er kanskje ikke umiddelbart merkbart, men vil bli tydelig over tid. Selv om midlertidige avbrudd er umulige å forhindre, kan de gjenopprettes. Fullstendig tap (ingen sikkerhetskopier tilgjengelig) av enten databasen eller konfigurasjons-ISO-filen vil imidlertid føre til uopprettelige kundedata. Operatørene av Hybrid Data Security-nodene forventes å opprettholde hyppige sikkerhetskopier av databasen og ISO-konfigurasjonsfilen, og være forberedt på å gjenoppbygge Hybrid Data Security-datasenteret hvis det oppstår en katastrofal feil. |
| 8 |
Sørg for at brannmurkonfigurasjonen din tillater tilkobling for hybriddatasikkerhetsnodene dine som beskrevet i Krav til ekstern tilkobling. |
| 9 |
Installer Docker ( https://www.docker.com) på en hvilken som helst lokal maskin som kjører et støttet operativsystem (Microsoft Windows 10 Professional eller Enterprise 64-bit, eller Mac OSX Yosemite 10.10.3 eller nyere) med en nettleser som har tilgang til det på http://127.0.0.1:8080. Du bruker Docker-forekomsten til å laste ned og kjøre HDS Setup Tool, som bygger den lokale konfigurasjonsinformasjonen for alle Hybrid Data Security-nodene. Du trenger kanskje en Docker Desktop-lisens. Se Krav til Docker Desktop for mer informasjon. For å installere og kjøre HDS Setup Tool, må den lokale maskinen ha tilkoblingsmulighetene som er beskrevet i Krav til ekstern tilkobling. |
| 10 |
Hvis du integrerer en proxy med Hybrid Data Security, må du sørge for at den oppfyller Krav til proxyserver. |
Konfigurer en hybrid datasikkerhetsklynge
Oppgaveflyt for distribusjon av hybrid datasikkerhet
| 1 |
Utfør første oppsett og last ned installasjonsfiler Last ned OVA-filen til din lokale maskin for senere bruk. |
| 2 |
Opprett en konfigurasjons-ISO for HDS-vertene Bruk HDS-oppsettverktøyet til å opprette en ISO-konfigurasjonsfil for Hybrid Data Security-nodene. |
| 3 |
Opprett en virtuell maskin fra OVA-filen og utfør den første konfigurasjonen, for eksempel nettverksinnstillinger. Alternativet for å konfigurere nettverksinnstillinger under OVA-distribusjon har blitt testet med ESXi 7.0 og 8.0. Alternativet er kanskje ikke tilgjengelig i tidligere versjoner. |
| 4 |
Konfigurer den hybride virtuelle datamaskinen for datasikkerhet Logg på VM-konsollen og angi påloggingslegitimasjonen. Konfigurer nettverksinnstillingene for noden hvis du ikke konfigurerte dem da OVA-distribusjonen ble utført. |
| 5 |
Last opp og monter HDS-konfigurasjons-ISO-en Konfigurer den virtuelle maskinen fra ISO-konfigurasjonsfilen du opprettet med HDS-oppsettverktøyet. |
| 6 |
Konfigurer HDS-noden for proxy-integrasjon Hvis nettverksmiljøet krever proxy-konfigurasjon, angi hvilken type proxy du vil bruke for noden, og legg til proxy-sertifikatet i klareringslageret om nødvendig. |
| 7 |
Registrer den første noden i klyngen Registrer den virtuelle maskinen med Cisco Webex-skyen som en hybrid datasikkerhetsnode. |
| 8 |
Opprett og registrer flere noder Fullfør klyngeoppsettet. |
| 9 |
Aktiver HDS for flere leietakere på partnerhub. Aktiver HDS og administrer leietakerorganisasjoner på Partner Hub. |
Utfør første oppsett og last ned installasjonsfiler
I denne oppgaven laster du ned en OVA-fil til maskinen din (ikke til serverne du har satt opp som hybride datasikkerhetsnoder). Du bruker denne filen senere i installasjonsprosessen.
| 1 |
Logg på Partner Hub, og klikk deretter på Tjenester. |
| 2 |
I Hybrid-delen finner du kortet for hybrid datasikkerhet, og deretter klikker du på Konfigurer. Det er avgjørende for distribusjonsprosessen å klikke på Konfigurer i Partner Hub. Ikke fortsett med installasjonen uten å fullføre dette trinnet. |
| 3 |
Klikk på Legg til en ressurs og klikk på Last ned .OVA-fil på kortet Installer og konfigurer programvare. Eldre versjoner av programvarepakken (OVA) vil ikke være kompatible med de nyeste oppgraderingene for hybrid datasikkerhet. Dette kan føre til problemer under oppgradering av applikasjonen. Sørg for at du laster ned den nyeste versjonen av OVA-filen. Du kan også laste ned OVA når som helst fra Hjelp -delen. Klikk på . Nedlastingen av OVA-filen begynner automatisk. Lagre filen på en plassering på maskinen din.
|
Opprett en konfigurasjons-ISO for HDS-vertene
Konfigurasjonsprosessen for hybrid datasikkerhet oppretter en ISO-fil. Deretter bruker du ISO-filen til å konfigurere Hybrid Data Security-verten din.
Før du begynner
-
HDS-oppsettverktøyet kjører som en Docker-container på en lokal maskin. For å få tilgang til den, kjør Docker på den maskinen. Oppsettprosessen krever påloggingsinformasjonen til en Partner Hub-konto med fulle administratorrettigheter.
Hvis du ikke har en Docker Desktop-lisens, kan du bruke Podman Desktop til å kjøre HDS-oppsettverktøyet for trinn 1 til 5 i prosedyren nedenfor. Se Kjør HDS-oppsettverktøyet med Podman Desktop for detaljer.
Hvis HDS-oppsettverktøyet kjører bak en proxy i miljøet ditt, må du oppgi proxy-innstillingene (server, port, legitimasjon) via Docker-miljøvariabler når du åpner Docker-containeren i trinn 5 nedenfor. Denne tabellen viser noen mulige miljøvariabler:
Beskrivelse
Variabel
HTTP-proxy uten autentisering
GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORTHTTPS-proxy uten autentisering
GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORTHTTP-proxy med autentisering
GLOBAL_AGENT_HTTP_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORTHTTPS-proxy med autentisering
GLOBAL_AGENT_HTTPS_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT -
Konfigurasjons-ISO-filen du genererer inneholder hovednøkkelen som krypterer PostgreSQL- eller Microsoft SQL Server-databasen. Du trenger den nyeste kopien av denne filen hver gang du gjør konfigurasjonsendringer, som disse:
-
Databaselegitimasjon
-
Sertifikatoppdateringer
-
Endringer i autorisasjonspolicyen
-
-
Hvis du planlegger å kryptere databasetilkoblinger, må du konfigurere PostgreSQL- eller SQL Server-distribusjonen din for TLS.
| 1 |
Skriv inn riktig kommando for miljøet ditt på maskinens kommandolinje: I vanlige miljøer: I FedRAMP-miljøer: Dette trinnet rydder opp i tidligere bilder av HDS-oppsettverktøyet. Hvis det ikke finnes noen tidligere bilder, returnerer den en feil som du kan ignorere. | ||||||||||
| 2 |
For å logge på Docker-avbildningsregisteret, skriv inn følgende: | ||||||||||
| 3 |
Ved passordledeteksten skriver du inn denne hashen: | ||||||||||
| 4 |
Last ned det nyeste stabile bildet for miljøet ditt: I vanlige miljøer: I FedRAMP-miljøer: | ||||||||||
| 5 |
Når hentingen er fullført, skriver du inn riktig kommando for miljøet ditt:
Når containeren kjører, ser du «Express-server lytter på port 8080». | ||||||||||
| 6 |
Installasjonsverktøyet støtter ikke tilkobling til localhost via http://localhost:8080. Bruk http://127.0.0.1:8080 for å koble til localhost. Bruk en nettleser til å gå til localhost, Verktøyet bruker denne første oppføringen av brukernavnet til å angi riktig miljø for den kontoen. Verktøyet viser deretter standard påloggingsledetekst. | ||||||||||
| 7 |
Når du blir bedt om det, skriver du inn påloggingsinformasjonen for Partner Hub-administratoren, og klikker deretter på Logg inn for å gi tilgang til de nødvendige tjenestene for Hybrid Data Security. | ||||||||||
| 8 |
På oversiktssiden for oppsettverktøyet klikker du på Kom i gang. | ||||||||||
| 9 |
På siden ISO-import har du disse alternativene:
| ||||||||||
| 10 |
Sjekk at X.509-sertifikatet ditt oppfyller kravene i Krav til X.509-sertifikat.
| ||||||||||
| 11 |
Skriv inn databaseadressen og kontoen som HDS bruker for å få tilgang til nøkkeldatalageret ditt: | ||||||||||
| 12 |
Velg en TLS-databasetilkoblingsmodus:
Når du laster opp rotsertifikatet (hvis nødvendig) og klikker på Fortsett, tester HDS-oppsettverktøyet TLS-tilkoblingen til databaseserveren. Verktøyet verifiserer også sertifikatsigneren og vertsnavnet, hvis aktuelt. Hvis en test mislykkes, viser verktøyet en feilmelding som beskriver problemet. Du kan velge om du vil ignorere feilen og fortsette med oppsettet. (På grunn av tilkoblingsforskjeller kan HDS-nodene kanskje opprette TLS-tilkoblingen selv om HDS Setup Tool-maskinen ikke kan teste den.) | ||||||||||
| 13 |
På siden Systemlogger konfigurerer du Syslogd-serveren din: | ||||||||||
| 14 |
(Valgfritt) Du kan endre standardverdien for noen databasetilkoblingsparametere i Avanserte innstillinger. Vanligvis er denne parameteren den eneste du kanskje vil endre: | ||||||||||
| 15 |
Klikk på Fortsett på skjermbildet Tilbakestill passord for tjenestekontoer. Passord for tjenestekontoer har en levetid på ni måneder. Bruk denne skjermen når passordene dine nærmer seg utløpsdatoen, eller du vil tilbakestille dem for å ugyldiggjøre tidligere ISO-filer. | ||||||||||
| 16 |
Klikk på Last ned ISO-fil. Lagre filen på et sted som er lett å finne. | ||||||||||
| 17 |
Lag en sikkerhetskopi av ISO-filen på ditt lokale system. Oppbevar sikkerhetskopien sikkert. Denne filen inneholder en hovedkrypteringsnøkkel for databaseinnholdet. Begrens tilgangen til kun de administratorene for hybrid datasikkerhet som skal gjøre konfigurasjonsendringer. | ||||||||||
| 18 |
For å avslutte installasjonsverktøyet, skriv |
Hva du skal gjøre nå
Sikkerhetskopier konfigurasjons-ISO-filen. Du trenger det for å opprette flere noder for gjenoppretting, eller for å gjøre konfigurasjonsendringer. Hvis du mister alle kopiene av ISO-filen, har du også mistet hovednøkkelen. Det er ikke mulig å gjenopprette nøklene fra PostgreSQL- eller Microsoft SQL Server-databasen.
Vi har aldri en kopi av denne nøkkelen, og kan ikke hjelpe deg hvis du mister den.
Installer HDS Host OVA
| 1 |
Bruk VMware vSphere-klienten på datamaskinen din for å logge på den virtuelle ESXi-verten. |
| 2 |
Velg Fil > Distribuer OVF-mal. |
| 3 |
I veiviseren angir du plasseringen til OVA-filen du lastet ned tidligere, og klikker deretter på Neste. |
| 4 |
På siden Velg et navn og en mappe skriver du inn et navn på en virtuell maskin for noden (for eksempel "HDS_Node_1"), velger en plassering der distribusjonen av den virtuelle maskinnoden kan befinne seg, og klikker deretter på Neste. |
| 5 |
På siden Velg en beregningsressurs velger du målberegningsressursen og klikker deretter på Neste. En valideringskontroll kjøres. Når det er ferdig, vises maldetaljene. |
| 6 |
Bekreft maldetaljene og klikk deretter på Neste. |
| 7 |
Hvis du blir bedt om å velge ressurskonfigurasjon på siden Konfigurasjon, klikker du på 4 CPU og deretter på Neste. |
| 8 |
På siden Velg lagring klikker du på Neste for å godta standard diskformat og lagringspolicy for virtuell maskin. |
| 9 |
På siden Velg nettverk velger du nettverksalternativet fra listen over oppføringer for å gi ønsket tilkobling til den virtuelle maskinen. |
| 10 |
På siden Tilpass mal konfigurerer du følgende nettverksinnstillinger:
Hvis du foretrekker det, kan du hoppe over konfigurasjonen av nettverksinnstillingene og følge trinnene i Konfigurer den virtuelle hybriddatasikkerhetsmaskinen for å konfigurere innstillingene fra nodekonsollen. Alternativet for å konfigurere nettverksinnstillinger under OVA-distribusjon har blitt testet med ESXi 7.0 og 8.0. Alternativet er kanskje ikke tilgjengelig i tidligere versjoner. |
| 11 |
Høyreklikk på nodens virtuelle maskin, og velg deretter . Hybrid Data Security-programvaren installeres som gjest på VM-verten. Du er nå klar til å logge på konsollen og konfigurere noden. Feilsøkingstips Du kan oppleve en forsinkelse på noen få minutter før nodecontainerne dukker opp. En melding om en brobrannmur vises på konsollen under første oppstart, og du kan ikke logge på i løpet av denne tiden. |
Konfigurer den hybride virtuelle datamaskinen for datasikkerhet
Bruk denne prosedyren for å logge på Hybrid Data Security-nodens virtuelle konsoll for første gang og angi påloggingslegitimasjonen. Du kan også bruke konsollen til å konfigurere nettverksinnstillingene for noden hvis du ikke konfigurerte dem da OVA-distribusjonen ble utført.
| 1 |
I VMware vSphere-klienten velger du den virtuelle maskinen for hybrid datasikkerhetsnoden og velger fanen Konsoll. VM-en starter opp, og en påloggingsledetekst vises. Hvis påloggingsledeteksten ikke vises, trykk Enter.
|
| 2 |
Bruk følgende standardbrukernavn og passord for å logge på og endre påloggingsinformasjonen: Siden du logger på den virtuelle maskinen for første gang, må du endre administratorpassordet. |
| 3 |
Hvis du allerede har konfigurert nettverksinnstillingene i Installer HDS Host OVA, hopper du over resten av denne prosedyren. Ellers velger du alternativet Rediger konfigurasjon i hovedmenyen. |
| 4 |
Sett opp en statisk konfigurasjon med IP-adresse, maske, gateway og DNS-informasjon. Noden din skal ha en intern IP-adresse og et DNS-navn. DHCP støttes ikke. |
| 5 |
(Valgfritt) Endre vertsnavn, domene eller NTP-server(e) om nødvendig for å samsvare med nettverkspolicyen din. Du trenger ikke å angi domenet slik at det samsvarer med domenet du brukte for å hente X.509-sertifikatet. |
| 6 |
Lagre nettverkskonfigurasjonen og start den virtuelle maskinen på nytt slik at endringene trer i kraft. |
Last opp og monter HDS-konfigurasjons-ISO-en
Før du begynner
Fordi ISO-filen inneholder hovednøkkelen, bør den bare eksponeres ved behov, for tilgang av de virtuelle hybriddatasikkerhetsmaskinene og eventuelle administratorer som måtte trenge å gjøre endringer. Sørg for at bare disse administratorene har tilgang til datalageret.
| 1 |
Last opp ISO-filen fra datamaskinen din: |
| 2 |
Monter ISO-filen: |
Hva du skal gjøre nå
Hvis IT-policyen din krever det, kan du eventuelt avmontere ISO-filen etter at alle nodene dine har plukket opp konfigurasjonsendringene. Se (Valgfritt) Avmonter ISO etter HDS-konfigurasjon for detaljer.
Konfigurer HDS-noden for proxy-integrasjon
Hvis nettverksmiljøet krever en proxy, bruk denne prosedyren for å angi typen proxy du vil integrere med Hybrid Data Security. Hvis du velger en transparent inspeksjonsproxy eller en eksplisitt HTTPS-proxy, kan du bruke nodens grensesnitt til å laste opp og installere rotsertifikatet. Du kan også sjekke proxy-tilkoblingen fra grensesnittet og feilsøke eventuelle problemer.
Før du begynner
-
Se Proxy-støtte for en oversikt over de støttede proxy-alternativene.
| 1 |
Skriv inn URL-adressen for oppsett av HDS-noden |
| 2 |
Gå til Trust Store & Proxy, og velg deretter et alternativ:
Følg de neste trinnene for en transparent inspeksjonsproxy, en eksplisitt HTTP-proxy med grunnleggende autentisering eller en eksplisitt HTTPS-proxy. |
| 3 |
Klikk på Last opp et rotsertifikat eller et sluttenhetssertifikat, og naviger deretter til og velg rotsertifikatet for proxyen. Sertifikatet er lastet opp, men ikke installert ennå, fordi du må starte noden på nytt for å installere sertifikatet. Klikk på vinkelpilen ved siden av sertifikatutstederens navn for å få mer informasjon, eller klikk på Slett hvis du har gjort en feil og vil laste opp filen på nytt. |
| 4 |
Klikk på Sjekk proxy-tilkobling for å teste nettverkstilkoblingen mellom noden og proxyen. Hvis tilkoblingstesten mislykkes, vil du se en feilmelding som viser årsaken og hvordan du kan løse problemet. Hvis du ser en melding som sier at ekstern DNS-løsning ikke var vellykket, klarte ikke noden å nå DNS-serveren. Denne betingelsen er forventet i mange eksplisitte proxy-konfigurasjoner. Du kan fortsette med oppsettet, og noden vil fungere i modus for blokkert ekstern DNS-løsning. Hvis du tror dette er en feil, fullfør disse trinnene, og se deretter Slå av blokkert ekstern DNS-oppløsningsmodus. |
| 5 |
Etter at tilkoblingstesten er bestått, for eksplisitt proxy satt til kun https, slå veksleknappen på Rut alle porter 443/444 https-forespørsler fra denne noden gjennom den eksplisitte proxyen. Denne innstillingen krever 15 sekunder for å tre i kraft. |
| 6 |
Klikk på Installer alle sertifikater i klareringslageret (vises for en eksplisitt HTTPS-proxy eller en transparent inspiserende proxy) eller Start på nytt (vises for en eksplisitt HTTP-proxy), les ledeteksten, og klikk deretter på Installer hvis du er klar. Noden starter på nytt innen få minutter. |
| 7 |
Etter at noden har startet på nytt, logg inn igjen om nødvendig, og åpne deretter siden Oversikt for å sjekke tilkoblingskontrollene og sørge for at de alle har grønn status. Proxy-tilkoblingskontrollen tester bare et underdomene av webex.com. Hvis det er tilkoblingsproblemer, er et vanlig problem at noen av skydomenene som er oppført i installasjonsinstruksjonene, blokkeres av proxy-tjeneren. |
Registrer den første noden i klyngen
Når du registrerer din første node, oppretter du en klynge som noden er tilordnet. En klynge inneholder én eller flere noder som er distribuert for å gi redundans.
Før du begynner
-
Når du har startet registreringen av en node, må du fullføre den innen 60 minutter, ellers må du starte på nytt.
-
Sørg for at eventuelle popup-blokkeringer i nettleseren din er deaktivert, eller at du tillater et unntak for admin.webex.com.
| 1 |
Logg inn på https://admin.webex.com. |
| 2 |
Fra menyen på venstre side av skjermen velger du Tjenester. |
| 3 |
I Hybrid-delen finner du Hybrid Data Security-kortet og klikker på Konfigurer. |
| 4 |
På siden som åpnes, klikk på Legg til en ressurs. |
| 5 |
I det første feltet på kortet Opprett en ny klynge skriver du inn et navn for klyngen du vil tilordne Hybrid Data Security-noden til. Vi anbefaler at du navngir en klynge basert på hvor nodene i klyngen befinner seg geografisk. Eksempler: «San Francisco» eller «New York» eller «Dallas» |
| 6 |
I det andre feltet skriver du inn den interne IP-adressen eller det fullstendig kvalifiserte domenenavnet (FQDN) til noden din og klikker på Legg til nederst på skjermen. Denne IP-adressen eller FQDN-en skal samsvare med IP-adressen eller vertsnavnet og domenet du brukte i Konfigurer den hybride virtuelle datamaskinen for datasikkerhet. Det vises en melding som angir at du kan registrere noden din i Webex.
|
| 7 |
Klikk på Gå til node. Etter noen få øyeblikk blir du omdirigert til nodetilkoblingstestene for Webex-tjenester. Hvis alle testene er vellykkede, vises siden Tillat tilgang til hybrid datasikkerhetsnode. Der bekrefter du at du vil gi Webex-organisasjonen din tillatelse til å få tilgang til noden din. |
| 8 |
Merk av i boksen Tillat tilgang til hybrid datasikkerhetsnode, og klikk deretter på Fortsett. Kontoen din er validert, og meldingen «Registrering fullført» indikerer at noden din nå er registrert i Webex-skyen.
|
| 9 |
Klikk på lenken eller lukk fanen for å gå tilbake til Partner Hub Hybrid Data Security-siden. På siden Hybrid datasikkerhet vises den nye klyngen som inneholder noden du registrerte, under fanen Ressurser. Noden vil automatisk laste ned den nyeste programvaren fra skyen.
|
Opprett og registrer flere noder
Før du begynner
-
Når du har startet registreringen av en node, må du fullføre den innen 60 minutter, ellers må du starte på nytt.
-
Sørg for at eventuelle popup-blokkeringer i nettleseren din er deaktivert, eller at du tillater et unntak for admin.webex.com.
| 1 |
Opprett en ny virtuell maskin fra OVA-en, og gjenta trinnene i Installer HDS Host OVA. |
| 2 |
Konfigurer den første konfigurasjonen på den nye virtuelle maskinen, og gjenta trinnene i Konfigurer den hybride virtuelle maskinen for datasikkerhet. |
| 3 |
Gjenta trinnene i Last opp og monter HDS-konfigurasjons-ISOpå den nye virtuelle maskinen. |
| 4 |
Hvis du konfigurerer en proxy for distribusjonen din, gjenta trinnene i Konfigurer HDS-noden for proxy-integrasjon etter behov for den nye noden. |
| 5 |
Registrer noden. |
Hva du skal gjøre nå
Administrer leietakerorganisasjoner på hybrid datasikkerhet for flere leietakere
Aktiver flerleietaker-HDS på partnerhub
Denne oppgaven sikrer at alle brukere i kundeorganisasjonene kan begynne å utnytte HDS for lokale krypteringsnøkler og andre sikkerhetstjenester.
Før du begynner
Sørg for at du har fullført oppsettet av HDS-klyngen med flere leietakere med det nødvendige antallet noder.
| 1 |
Logg inn på https://admin.webex.com. |
| 2 |
Fra menyen på venstre side av skjermen velger du Tjenester. |
| 3 |
I Hybrid-delen finner du Hybrid datasikkerhet og klikker på Rediger innstillinger. |
| 4 |
Klikk på Aktiver HDS på kortet HDS-status. |
Legg til leietakerorganisasjoner i Partner Hub
I denne oppgaven tilordner du kundeorganisasjoner til din hybride datasikkerhetsklynge.
| 1 |
Logg inn på https://admin.webex.com. |
| 2 |
Fra menyen på venstre side av skjermen velger du Tjenester. |
| 3 |
I Hybrid-delen finner du Hybrid datasikkerhet og klikker på Vis alle. |
| 4 |
Gå til fanen Tildelte kunder. Fanen Tildelte kunder vises ikke før du oppretter en klynge. |
| 5 |
Klikk på Legg til kunder. |
| 6 |
Velg kunden du vil legge til fra rullegardinmenyen. |
| 7 |
Klikk på Legg til, kunden vil bli lagt til i klyngen. |
| 8 |
Gjenta trinn 5 til 7 for å legge til flere kunder i klyngen din. |
| 9 |
Klikk på Ferdig nederst på skjermen når du har lagt til kundene. Kunder som legges til, vil bli synkronisert på tvers av alle tilgjengelige klynger. |
Hva du skal gjøre nå
Opprett kundens hovednøkler (CMK-er) ved hjelp av HDS-oppsettverktøyet
Før du begynner
Tilordne kunder som beskrevet i Legge til leietakerorganisasjoner i partnerhub. Kjør HDS-oppsettverktøyet for å fullføre oppsettprosessen for de nylig tillagte kundeorganisasjonene.
-
HDS-oppsettverktøyet kjører som en Docker-container på en lokal maskin. For å få tilgang til den, kjør Docker på den maskinen. Konfigurasjonsprosessen krever legitimasjonen til en Partner Hub-konto med fulle administratorrettigheter for organisasjonen din.
Hvis HDS-oppsettverktøyet kjører bak en proxy i miljøet ditt, må du oppgi proxy-innstillingene (server, port, legitimasjon) via Docker-miljøvariabler når du åpner Docker-containeren i trinn 5. Denne tabellen viser noen mulige miljøvariabler:
Beskrivelse
Variabel
HTTP-proxy uten autentisering
GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORTHTTPS-proxy uten autentisering
GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORTHTTP-proxy med autentisering
GLOBAL_AGENT_HTTP_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORTHTTPS-proxy med autentisering
GLOBAL_AGENT_HTTPS_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT -
Konfigurasjons-ISO-filen du genererer inneholder hovednøkkelen som krypterer PostgreSQL- eller Microsoft SQL Server-databasen. Du trenger den nyeste kopien av denne filen hver gang du gjør konfigurasjonsendringer, som disse:
-
Databaselegitimasjon
-
Sertifikatoppdateringer
-
Endringer i autorisasjonspolicyen
-
-
Hvis du planlegger å kryptere databasetilkoblinger, må du konfigurere PostgreSQL- eller SQL Server-distribusjonen din for TLS.
Konfigurasjonsprosessen for hybrid datasikkerhet oppretter en ISO-fil. Deretter bruker du ISO-filen til å konfigurere Hybrid Data Security-verten din.
| 1 |
Skriv inn riktig kommando for miljøet ditt på maskinens kommandolinje: I vanlige miljøer: I FedRAMP-miljøer: Dette trinnet rydder opp i tidligere bilder av HDS-oppsettverktøyet. Hvis det ikke finnes noen tidligere bilder, returnerer den en feil som du kan ignorere. |
| 2 |
For å logge på Docker-avbildningsregisteret, skriv inn følgende: |
| 3 |
Ved passordledeteksten skriver du inn denne hashen: |
| 4 |
Last ned det nyeste stabile bildet for miljøet ditt: I vanlige miljøer: I FedRAMP-miljøer: |
| 5 |
Når hentingen er fullført, skriver du inn riktig kommando for miljøet ditt:
Når containeren kjører, ser du «Express-server lytter på port 8080». |
| 6 |
Installasjonsverktøyet støtter ikke tilkobling til localhost via http://localhost:8080. Bruk http://127.0.0.1:8080 for å koble til localhost. Bruk en nettleser til å gå til localhost, Verktøyet bruker denne første oppføringen av brukernavnet til å angi riktig miljø for den kontoen. Verktøyet viser deretter standard påloggingsledetekst. |
| 7 |
Når du blir bedt om det, skriver du inn påloggingsinformasjonen for Partner Hub-administratoren, og klikker deretter på Logg inn for å gi tilgang til de nødvendige tjenestene for Hybrid Data Security. |
| 8 |
På oversiktssiden for oppsettverktøyet klikker du på Kom i gang. |
| 9 |
På siden ISO-import klikker du på Ja. |
| 10 |
Velg ISO-filen din i nettleseren og last den opp. Sørg for tilkobling til databasen din for å utføre CMK-administrasjon. |
| 11 |
Gå til fanen Leietaker-CMK-administrasjon, der du finner følgende tre måter å administrere leietaker-CMK-er på.
|
| 12 |
Når CMK-opprettelsen er vellykket, endres statusen i tabellen fra CMK-administrasjon venter til CMK-administrert. |
| 13 |
Hvis opprettelsen av CMK mislykkes, vises en feilmelding. |
Fjern leietakerorganisasjoner
Før du begynner
Når den er fjernet, vil ikke brukere av kundeorganisasjoner kunne bruke HDS til sine krypteringsbehov, og de vil miste alle eksisterende plasser. Før du fjerner kundeorganisasjoner, må du kontakte Cisco-partneren eller kontoansvarlig.
| 1 |
Logg inn på https://admin.webex.com. |
| 2 |
Fra menyen på venstre side av skjermen velger du Tjenester. |
| 3 |
I Hybrid-delen finner du Hybrid datasikkerhet og klikker på Vis alle. |
| 4 |
På siden som åpnes, klikk på fanen Tildelte kunder. |
| 5 |
Fra listen over kundeorganisasjoner som vises, klikk på |
Hva du skal gjøre nå
Fullfør fjerningsprosessen ved å tilbakekalle CMK-ene til kundeorganisasjonene som beskrevet i Tilbakekalle CMK-er for leietakere fjernet fra HDS.
Tilbakekall CMK-er for leietakere som er fjernet fra HDS.
Før du begynner
Fjern kunder som beskrevet i Fjern leietakerorganisasjoner. Kjør HDS-oppsettverktøyet for å fullføre fjerningsprosessen for kundeorganisasjonene som ble fjernet.
-
HDS-oppsettverktøyet kjører som en Docker-container på en lokal maskin. For å få tilgang til den, kjør Docker på den maskinen. Konfigurasjonsprosessen krever legitimasjonen til en Partner Hub-konto med fulle administratorrettigheter for organisasjonen din.
Hvis HDS-oppsettverktøyet kjører bak en proxy i miljøet ditt, må du oppgi proxy-innstillingene (server, port, legitimasjon) via Docker-miljøvariabler når du åpner Docker-containeren i trinn 5. Denne tabellen viser noen mulige miljøvariabler:
Beskrivelse
Variabel
HTTP-proxy uten autentisering
GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORTHTTPS-proxy uten autentisering
GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORTHTTP-proxy med autentisering
GLOBAL_AGENT_HTTP_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORTHTTPS-proxy med autentisering
GLOBAL_AGENT_HTTPS_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT -
Konfigurasjons-ISO-filen du genererer inneholder hovednøkkelen som krypterer PostgreSQL- eller Microsoft SQL Server-databasen. Du trenger den nyeste kopien av denne filen hver gang du gjør konfigurasjonsendringer, som disse:
-
Databaselegitimasjon
-
Sertifikatoppdateringer
-
Endringer i autorisasjonspolicyen
-
-
Hvis du planlegger å kryptere databasetilkoblinger, må du konfigurere PostgreSQL- eller SQL Server-distribusjonen din for TLS.
Konfigurasjonsprosessen for hybrid datasikkerhet oppretter en ISO-fil. Deretter bruker du ISO-filen til å konfigurere Hybrid Data Security-verten din.
| 1 |
Skriv inn riktig kommando for miljøet ditt på maskinens kommandolinje: I vanlige miljøer: I FedRAMP-miljøer: Dette trinnet rydder opp i tidligere bilder av HDS-oppsettverktøyet. Hvis det ikke finnes noen tidligere bilder, returnerer den en feil som du kan ignorere. |
| 2 |
For å logge på Docker-avbildningsregisteret, skriv inn følgende: |
| 3 |
Ved passordledeteksten skriver du inn denne hashen: |
| 4 |
Last ned det nyeste stabile bildet for miljøet ditt: I vanlige miljøer: I FedRAMP-miljøer: |
| 5 |
Når hentingen er fullført, skriver du inn riktig kommando for miljøet ditt:
Når containeren kjører, ser du «Express-server lytter på port 8080». |
| 6 |
Installasjonsverktøyet støtter ikke tilkobling til localhost via http://localhost:8080. Bruk http://127.0.0.1:8080 for å koble til localhost. Bruk en nettleser til å gå til localhost, Verktøyet bruker denne første oppføringen av brukernavnet til å angi riktig miljø for den kontoen. Verktøyet viser deretter standard påloggingsledetekst. |
| 7 |
Når du blir bedt om det, skriver du inn påloggingsinformasjonen for Partner Hub-administratoren, og klikker deretter på Logg inn for å gi tilgang til de nødvendige tjenestene for Hybrid Data Security. |
| 8 |
På oversiktssiden for oppsettverktøyet klikker du på Kom i gang. |
| 9 |
På siden ISO-import klikker du på Ja. |
| 10 |
Velg ISO-filen din i nettleseren og last den opp. |
| 11 |
Gå til fanen Leietaker-CMK-administrasjon, der du finner følgende tre måter å administrere Leietaker-CMK-er på.
|
| 12 |
Når CMK-tilbakekallingen er vellykket, vil ikke kundeorganisasjonen lenger vises i tabellen. |
| 13 |
Hvis CMK-tilbakekalling mislykkes, vises en feilmelding. |
Test hybrid datasikkerhetsdistribusjonen din
Test din hybride datasikkerhetsimplementering
Før du begynner
-
Konfigurer din hybride datasikkerhetsdistribusjon for flere leietakere.
-
Sørg for at du har tilgang til sysloggen for å bekrefte at nøkkelforespørsler sendes til Multi-Tenant Hybrid Data Security-distribusjonen din.
| 1 |
Nøkler for et gitt område angis av den som har opprettet området. Logg på Webex-appen som en av brukerne i kundeorganisasjonen, og opprett deretter et område. Hvis du deaktiverer distribusjonen av Hybrid Data Security, vil innhold i områder som brukere oppretter ikke lenger være tilgjengelig når de klientbufrede kopiene av krypteringsnøklene er erstattet. |
| 2 |
Send meldinger til det nye rommet. |
| 3 |
Sjekk syslog-utdataene for å bekrefte at nøkkelforespørslene sendes til Hybrid Data Security-distribusjonen din. Hvis en bruker av en nylig tillagt kundeorganisasjon utfører en handling, vil organisasjonens organisasjons-ID vises i loggene, og dette kan brukes til å bekrefte at organisasjonen bruker Multi-Tenant HDS. Sjekk verdien av |
Overvåk hybrid datasikkerhetshelse
| 1 |
I Partnerhubvelger du Tjenester fra menyen på venstre side av skjermen. |
| 2 |
I Hybrid-delen finner du Hybrid datasikkerhet og klikker på Rediger innstillinger. Siden Innstillinger for hybrid datasikkerhet vises.
|
| 3 |
I delen E-postvarsler skriver du inn én eller flere e-postadresser atskilt med komma, og trykker på Enter. |
Administrer HDS-distribusjonen din
Administrer HDS-distribusjon
Bruk oppgavene som er beskrevet her til å administrere hybrid datasikkerhetsdistribusjonen din.
Angi en tidsplan for klyngeoppgradering
Slik angir du oppgraderingsplanen:
| 1 |
Logg inn på Partner Hub. |
| 2 |
Fra menyen på venstre side av skjermen velger du Tjenester. |
| 3 |
I Hybrid-delen finner du Hybrid datasikkerhet og klikker på Konfigurer |
| 4 |
På siden Hybride datasikkerhetsressurser velger du klyngen. |
| 5 |
Klikk på fanen Klyngeinnstillinger. |
| 6 |
På siden Klyngeinnstillinger, under Oppgraderingsplan, velger du klokkeslett og tidssone for oppgraderingsplanen. Merknad: Under tidssonen vises neste tilgjengelige oppgraderingsdato og -klokkeslett. Du kan utsette oppgraderingen til neste dag om nødvendig ved å klikke på Utsett med 24 timer. |
Endre nodekonfigurasjonen
-
Endring av x.509-sertifikater på grunn av utløp eller andre årsaker.
Vi støtter ikke endring av CN-domenenavnet til et sertifikat. Domenet må samsvare med det opprinnelige domenet som ble brukt til å registrere klyngen.
-
Oppdaterer databaseinnstillinger for å endre til en kopi av PostgreSQL- eller Microsoft SQL Server-databasen.
Vi støtter ikke migrering av data fra PostgreSQL til Microsoft SQL Server, eller motsatt vei. For å bytte databasemiljø, start en ny distribusjon av Hybrid Data Security.
-
Oppretter en ny konfigurasjon for å klargjøre et nytt datasenter.
Av sikkerhetshensyn bruker Hybrid Data Security også passord for tjenestekontoer som har en levetid på ni måneder. Etter at HDS-oppsettverktøyet genererer disse passordene, distribuerer du dem til hver av HDS-nodene dine i ISO-konfigurasjonsfilen. Når organisasjonens passord nærmer seg utløpsdatoen, mottar du et varsel fra Webex-teamet om å tilbakestille passordet for maskinkontoen din. (E-posten inneholder teksten «Bruk maskinkonto-API-et til å oppdatere passordet.») Hvis passordene dine ikke er utløpt ennå, gir verktøyet deg to alternativer:
-
Myk tilbakestilling– Både det gamle og det nye passordet fungerer i opptil 10 dager. Bruk denne perioden til å gradvis erstatte ISO-filen på nodene.
-
Hard tilbakestilling– De gamle passordene slutter å virke umiddelbart.
Hvis passordene dine utløper uten tilbakestilling, påvirker det HDS-tjenesten din, og krever en umiddelbar hard tilbakestilling og erstatning av ISO-filen på alle noder.
Bruk denne prosedyren til å generere en ny ISO-konfigurasjonsfil og bruke den på klyngen din.
Før du begynner
-
HDS-oppsettverktøyet kjører som en Docker-container på en lokal maskin. For å få tilgang til den, kjør Docker på den maskinen. Oppsettprosessen krever påloggingsinformasjonen til en Partner Hub-konto med fulle administratorrettigheter for partneren.
Hvis du ikke har en Docker Desktop-lisens, kan du bruke Podman Desktop til å kjøre HDS-oppsettverktøyet for trinn 1.a til 1.e i prosedyren nedenfor. Se Kjør HDS-oppsettverktøyet med Podman Desktop for detaljer.
Hvis HDS-oppsettverktøyet kjører bak en proxy i miljøet ditt, må du oppgi proxy-innstillingene (server, port, legitimasjon) via Docker-miljøvariabler når du åpner Docker-containeren i 1.e. Denne tabellen viser noen mulige miljøvariabler:
Beskrivelse
Variabel
HTTP-proxy uten autentisering
GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORTHTTPS-proxy uten autentisering
GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORTHTTP-proxy med autentisering
GLOBAL_AGENT_HTTP_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORTHTTPS-proxy med autentisering
GLOBAL_AGENT_HTTPS_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT -
Du trenger en kopi av den gjeldende ISO-filen for konfigurasjonen for å generere en ny konfigurasjon. ISO-filen inneholder hovednøkkelen som krypterer PostgreSQL- eller Microsoft SQL Server-databasen. Du trenger ISO-filen når du gjør konfigurasjonsendringer, inkludert databaselegitimasjon, sertifikatoppdateringer eller endringer i autorisasjonspolicyen.
| 1 |
Kjør HDS-oppsettverktøyet ved hjelp av Docker på en lokal maskin. |
| 2 |
Hvis du bare har én HDS-node som kjører, oppretter du en ny virtuell maskin for hybrid datasikkerhetsnoden og registrerer den ved hjelp av den nye ISO-konfigurasjonsfilen. For mer detaljerte instruksjoner, se Opprett og registrer flere noder. |
| 3 |
For eksisterende HDS-noder som kjører den eldre konfigurasjonsfilen, monter ISO-filen. Utfør følgende prosedyre på hver node etter tur, og oppdater hver node før du slår av neste node: |
| 4 |
Gjenta trinn 3 for å erstatte konfigurasjonen på hver gjenværende node som kjører den gamle konfigurasjonen. |
Slå av blokkert ekstern DNS-oppløsningsmodus
Når du registrerer en node eller sjekker nodens proxy-konfigurasjon, tester prosessen DNS-oppslag og tilkobling til Cisco Webex-skyen. Hvis nodens DNS-server ikke kan løse offentlige DNS-navn, går noden automatisk inn i modus for blokkert ekstern DNS-løsning.
Hvis nodene dine kan løse offentlige DNS-navn gjennom interne DNS-servere, kan du slå av denne modusen ved å kjøre proxy-tilkoblingstesten på nytt på hver node.
Før du begynner
| 1 |
I en nettleser åpner du Hybrid Data Security-nodegrensesnittet (IP address/setup, For eksempel, https://192.0.2.0/setup), skriv inn administratorlegitimasjonen du har satt opp for noden, og klikk deretter på Logg på. |
| 2 |
Gå til Oversikt (standardsiden). Når den er aktivert, er Blokkert ekstern DNS-oppløsning satt til Ja. |
| 3 |
Gå til Trust Store & Proxy -side. |
| 4 |
Klikk på Sjekk proxy-tilkobling. Hvis du ser en melding som sier at ekstern DNS-løsning ikke var vellykket, klarte ikke noden å nå DNS-serveren og vil forbli i denne modusen. Ellers, etter at du har startet noden på nytt og går tilbake til siden Oversikt, bør Blokkert ekstern DNS-oppløsning settes til nei. |
Hva du skal gjøre nå
Fjern en node
| 1 |
Bruk VMware vSphere-klienten på datamaskinen din til å logge på den virtuelle ESXi-verten og slå av den virtuelle maskinen. |
| 2 |
Fjern noden: |
| 3 |
Slett den virtuelle maskinen i vSphere-klienten. (I venstre navigasjonsrute høyreklikker du på den virtuelle maskinen og klikker på Slett.) Hvis du ikke sletter den virtuelle maskinen, husk å avmontere konfigurasjons-ISO-filen. Uten ISO-filen kan du ikke bruke den virtuelle maskinen til å få tilgang til sikkerhetsdataene dine. |
Katastrofegjenoppretting ved bruk av standby-datasenter
Den viktigste tjenesten som hybrid datasikkerhetsklyngen din tilbyr, er oppretting og lagring av nøkler som brukes til å kryptere meldinger og annet innhold som er lagret i Webex-skyen. For hver bruker i organisasjonen som er tilordnet Hybrid Data Security, rutes nye forespørsler om nøkkeloppretting til klyngen. Klyngen er også ansvarlig for å returnere nøklene den har opprettet til alle brukere som er autorisert til å hente dem, for eksempel medlemmer av et samtaleområde.
Fordi klyngen utfører den kritiske funksjonen med å levere disse nøklene, er det avgjørende at klyngen forblir i gang og at det vedlikeholdes riktige sikkerhetskopier. Tap av Hybrid Data Security-databasen eller av konfigurasjons-ISO-en som brukes for skjemaet vil føre til UKJENOPPRETTBART TAP av kundeinnhold. Følgende fremgangsmåter er obligatoriske for å forhindre et slikt tap:
Hvis en katastrofe fører til at HDS-distribusjonen i det primære datasenteret blir utilgjengelig, følger du denne prosedyren for å manuelt bytte til reservedatasenteret.
Før du begynner
| 1 |
Start HDS-oppsettverktøyet og følg trinnene som er nevnt i Opprett en konfigurasjons-ISO for HDS-vertene. |
| 2 |
Etter at du har konfigurert Syslogd-serveren, klikker du på Avanserte innstillinger |
| 3 |
På siden Avanserte innstillinger legger du til konfigurasjonen nedenfor eller fjerner
|
| 4 |
Fullfør konfigurasjonsprosessen og lagre ISO-filen på et sted som er lett å finne. |
| 5 |
Lag en sikkerhetskopi av ISO-filen på ditt lokale system. Oppbevar sikkerhetskopien sikkert. Denne filen inneholder en hovedkrypteringsnøkkel for databaseinnholdet. Begrens tilgangen til kun de administratorene for hybrid datasikkerhet som skal gjøre konfigurasjonsendringer. |
| 6 |
I VMware vSphere-klientens venstre navigasjonsrute høyreklikker du på den virtuelle maskinen og klikker på Rediger innstillinger.. |
| 7 |
Klikk på Rediger innstillinger >CD/DVD Stasjon 1 og velg ISO-fil for datalager. Sørg for at Tilkoblet og Koble til ved oppstart er avmerket, slik at oppdaterte konfigurasjonsendringer kan tre i kraft etter at nodene har startet. |
| 8 |
Slå på HDS-noden og sørg for at det ikke er noen alarmer på minst 15 minutter. |
| 9 |
Gjenta prosessen for hver node i standby-datasenteret. Sjekk syslog-utdataene for å bekrefte at nodene i standby-datasenteret ikke er i passiv modus. «KMS konfigurert i passiv modus» skal ikke vises i systemloggene. |
Hva du skal gjøre nå
(Valgfritt) Avmonter ISO etter HDS-konfigurasjon
Standard HDS-konfigurasjonen kjører med ISO montert. Men noen kunder foretrekker å ikke la ISO-filer være kontinuerlig montert. Du kan avmontere ISO-filen etter at alle HDS-nodene har hentet den nye konfigurasjonen.
Du bruker fortsatt ISO-filene til å gjøre konfigurasjonsendringer. Når du oppretter en ny ISO eller oppdaterer en ISO via installasjonsverktøyet, må du montere den oppdaterte ISO-en på alle HDS-nodene dine. Når alle nodene dine har plukket opp konfigurasjonsendringene, kan du avmontere ISO-en igjen med denne prosedyren.
Før du begynner
Oppgrader alle HDS-nodene dine til versjon 2025.06.02.6983 eller nyere.
| 1 |
Slå av en av HDS-nodene dine. |
| 2 |
I vCenter Server Appliance velger du HDS-noden. |
| 3 |
Velg og fjern merket for Datastore ISO-fil. |
| 4 |
Slå på HDS-noden og sørg for at det ikke er noen alarmer på minst 20 minutter. |
| 5 |
Gjenta for hver HDS-node etter tur. |
Feilsøking av hybrid datasikkerhet
Vis varsler og feilsøk
En hybrid datasikkerhetsdistribusjon anses som utilgjengelig hvis alle noder i klyngen ikke kan nås, eller klyngen fungerer så sakte at forespørsler blir tidsavbrutt. Hvis brukere ikke kan nå Hybrid Data Security-klyngen din, opplever de følgende symptomer:
-
Nye mellomrom kan ikke opprettes (kan ikke opprette nye nøkler)
-
Meldinger og romtitler klarer ikke å dekryptere for:
-
Nye brukere lagt til i et rom (kan ikke hente nøkler)
-
Eksisterende brukere i et område som bruker en ny klient (kan ikke hente nøkler)
-
-
Eksisterende brukere i et område vil fortsette å kjøre uten problemer så lenge klientene deres har en hurtigbuffer med krypteringsnøklene
Det er viktig at du overvåker Hybrid Data Security-klyngen din ordentlig og adresserer eventuelle varsler raskt for å unngå avbrudd i tjenesten.
Varsler
Hvis det er et problem med oppsettet av hybrid datasikkerhet, viser Partner Hub varsler til organisasjonsadministratoren og sender e-poster til den konfigurerte e-postadressen. Varslene dekker mange vanlige scenarier.
|
Varsle |
Handling |
|---|---|
|
Tilgangsfeil for lokal database. |
Sjekk for databasefeil eller problemer med det lokale nettverket. |
|
Feil på tilkobling til lokal database. |
Kontroller at databaseserveren er tilgjengelig, og at riktig tjenestekontolegitimasjon ble brukt i nodekonfigurasjonen. |
|
Feil med tilgang til skytjenesten. |
Kontroller at nodene har tilgang til Webex-serverne som angitt i Krav til ekstern tilkobling. |
|
Fornyer registrering av skytjeneste. |
Registrering til skytjenester ble droppet. Fornyelse av registreringen pågår. |
|
Registrering av skytjeneste er fjernet. |
Registrering for skytjenester er avsluttet. Tjenesten stenges ned. |
|
Tjenesten er ikke aktivert ennå. |
Aktiver HDS i Partner Hub. |
|
Det konfigurerte domenet samsvarer ikke med serversertifikatet. |
Sørg for at serversertifikatet ditt samsvarer med det konfigurerte domenet for tjenesteaktivering. Den mest sannsynlige årsaken er at sertifikatets CN nylig ble endret og nå er forskjellig fra CN-en som ble brukt under den første oppsettet. |
|
Kunne ikke autentisere mot skytjenester. |
Sjekk nøyaktighet og mulig utløpsdato for tjenestekontolegitimasjon. |
|
Kunne ikke åpne den lokale nøkkellagerfilen. |
Sjekk integriteten og passordnøyaktigheten på den lokale nøkkellagerfilen. |
|
Det lokale serversertifikatet er ugyldig. |
Sjekk utløpsdatoen for serversertifikatet og bekreft at det ble utstedt av en pålitelig sertifiseringsinstans. |
|
Kan ikke legge ut målinger. |
Sjekk lokal nettverkstilgang til eksterne skytjenester. |
|
/media/configdrive/hds katalogen finnes ikke. |
Sjekk ISO-monteringskonfigurasjonen på den virtuelle verten. Bekreft at ISO-filen finnes, at den er konfigurert til å monteres ved omstart, og at den monteres uten problemer. |
|
Oppsettet av leietakerorganisasjonen er ikke fullført for de tillagte organisasjonene. |
Fullfør oppsettet ved å opprette CMK-er for nylig tillagte leietakerorganisasjoner ved hjelp av HDS Setup Tool. |
|
Oppsettet av leietakerorganisasjonen er ikke fullført for de fjernede organisasjonene. |
Fullfør oppsettet ved å tilbakekalle CMK-er for leietakerorganisasjoner som ble fjernet ved hjelp av HDS Setup Tool. |
Feilsøking av hybrid datasikkerhet
| 1 |
Logg inn på Partner Hub. |
| 2 |
Fra menyen på venstre side av skjermen velger du Tjenester. |
| 3 |
I Hybrid-delen finner du Hybrid datasikkerhet og klikker på Hendelser. |
| 4 |
Se gjennom hendelseshistorikksiden for varsler og fiks eventuelle elementer du finner der. Se bildet nedenfor som referanse. |
| 5 |
Se gjennom syslog-serverutdataene for aktivitet fra Hybrid Data Security-distribusjonen. Filtrer etter ord som «Advarsel» og «Feil» for å hjelpe til med feilsøking. |
| 6 |
Kontakt Cisco-kundestøtte. |
Andre notater
Kjente problemer for hybrid datasikkerhet
-
Hvis du slår av alle dine aktive Hybrid Data Security-klynger (ved å slette dem i Partner Hub eller ved å slå av alle noder), mister konfigurasjons-ISO-filen eller mister tilgang til nøkkellagerdatabasen, kan ikke Webex-appbrukere av kundeorganisasjoner lenger bruke mellomrom under personlisten sin som ble opprettet med nøkler fra KMS-systemet ditt. Vi har for øyeblikket ingen løsning eller løsning på dette problemet, og vi oppfordrer deg til ikke å stenge ned HDS-tjenestene dine når de håndterer aktive brukerkontoer.
-
En klient som har en eksisterende ECDH-tilkobling til et KMS, opprettholder denne tilkoblingen i en periode (sannsynligvis én time).
Kjør HDS Setup-verktøyet med Podman Desktop
Podman er et gratis og åpen kildekode-verktøy for containeradministrasjon som gir en måte å kjøre, administrere og opprette containere på. Podman Desktop kan lastes ned fra https://podman-desktop.io/downloads.
-
HDS-oppsettverktøyet kjører som en Docker-container på en lokal maskin. For å få tilgang til den, last ned og kjør Podman på den maskinen. Konfigurasjonsprosessen krever legitimasjonen til en Control Hub-konto med fulle administratorrettigheter for organisasjonen din.
Hvis HDS-oppsettverktøyet kjører bak en proxy i miljøet ditt, må du oppgi proxy-innstillingene (server, port, legitimasjon) via Docker-miljøvariabler når du åpner Docker-containeren i trinn 5. Denne tabellen viser noen mulige miljøvariabler:
Beskrivelse
Variabel
HTTP-proxy uten autentisering
GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORTHTTPS-proxy uten autentisering
GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORTHTTP-proxy med autentisering
GLOBAL_AGENT_HTTP_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORTHTTPS-proxy med autentisering
GLOBAL_AGENT_HTTPS_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT -
Konfigurasjons-ISO-filen du genererer inneholder hovednøkkelen som krypterer PostgreSQL- eller Microsoft SQL Server-databasen. Du trenger den nyeste kopien av denne filen hver gang du gjør konfigurasjonsendringer, som disse:
-
Databaselegitimasjon
-
Sertifikatoppdateringer
-
Endringer i autorisasjonspolicyen
-
-
Hvis du planlegger å kryptere databasetilkoblinger, må du konfigurere PostgreSQL- eller SQL Server-distribusjonen din for TLS.
Konfigurasjonsprosessen for hybrid datasikkerhet oppretter en ISO-fil. Deretter bruker du ISO-filen til å konfigurere Hybrid Data Security-verten din.
| 1 |
Skriv inn riktig kommando for miljøet ditt på maskinens kommandolinje: I vanlige miljøer: I FedRAMP-miljøer: Dette trinnet rydder opp i tidligere bilder av HDS-oppsettverktøyet. Hvis det ikke finnes noen tidligere bilder, returnerer den en feil som du kan ignorere. |
| 2 |
For å logge på Docker-avbildningsregisteret, skriv inn følgende: |
| 3 |
Ved passordledeteksten skriver du inn denne hashen: |
| 4 |
Last ned det nyeste stabile bildet for miljøet ditt: I vanlige miljøer: I FedRAMP-miljøer: |
| 5 |
Når hentingen er fullført, skriver du inn riktig kommando for miljøet ditt:
Når containeren kjører, ser du «Express-server lytter på port 8080». |
Hva du skal gjøre nå
Flytt den eksisterende HDS-distribusjonen med én leietaker fra en partnerorganisasjon i Control Hub til et HDS-oppsett med flere leietakere i Partner Hub
Konverteringen fra en eksisterende HDS-distribusjon med én leier i en partnerorganisasjon administrert i Control Hub til en HDS-distribusjon med flere leiere administrert i Partner Hub innebærer hovedsakelig å deaktivere HDS-tjenesten i Control Hub, avregistrere noder og slette klyngen. Deretter kan du logge inn på Partner Hub, registrere nodene, aktivere Multi-Tenant HDS og legge til kunder i klyngen din.
Begrepet «enkeltleietaker» refererer ganske enkelt til en eksisterende HDS-distribusjon i Control Hub.
Deaktiver HDS, avregistrer noder og slett alle klynger i Control Hub
| 1 |
Logg inn på Kontrollhub. Klikk på Hybridi venstre rute. Klikk på Rediger innstillingerpå Hybrid Data Security-kortet. |
| 2 |
På innstillingssiden blar du ned til Deaktiver-delen og klikker på Deaktiver. |
| 3 |
Etter deaktivering, klikk på fanen Ressurser. |
| 4 |
Siden Ressurser viser en liste over klynger i HDS-distribusjonen din. Klikk på en klynge, så åpnes en side med alle noder under den klyngen. |
| 5 |
Klikk på |
| 6 |
Hvis distribusjonen din har flere klynger, gjenta trinn 4 og trinn 5 til alle noder er avregistrert. |
| 7 |
Klikk på Klyngeinnstillinger > Fjern. |
| 8 |
Klikk på Bekreft fjerning for å avregistrere klyngen. |
| 9 |
Gjenta prosessen for alle klynger i HDS-distribusjonen din. Etter deaktivering av HDS, avregistrering av noder og fjerning av klynger, vil Hybrid Data Service-kortet på Control Hub ha Oppsettet ikke fullført vist nederst. |
Aktiver Multi-Tenant HDS for partnerorganisasjonen på Partner Hub og legg til kunder
Før du begynner
Alle forutsetningene nevnt i Krav til hybrid datasikkerhet for flere leietakere gjelder her. I tillegg må du sørge for at samme database og sertifikater brukes under overføringen til Multi-Tenant HDS.
| 1 |
Logg inn på Partner Hub. Klikk på Tjenester i venstre rute. Bruk den samme ISO-en fra den forrige HDS-distribusjonen din til å konfigurere nodene. Dette vil sikre at meldinger og innhold generert av brukerne i den forrige eksisterende HDS-distribusjonen fortsatt er tilgjengelig i det nye oppsettet for flere leietakere. |
| 2 |
I Hybrid-delen finner du Hybrid Data Security-kortet og klikker på Konfigurer. |
| 3 |
På siden som åpnes, klikk på Legg til en ressurs. |
| 4 |
I det første feltet på kortet Opprett en klynge skriver du inn et navn på klyngen du vil tilordne Hybrid Data Security-noden til. Vi anbefaler at du navngir en klynge basert på hvor nodene i klyngen befinner seg geografisk. Eksempler: «San Francisco» eller «New York» eller «Dallas» |
| 5 |
I det andre feltet skriver du inn den interne IP-adressen eller det fullstendig kvalifiserte domenenavnet (FQDN) til noden din og klikker på Legg til nederst på skjermen. Denne IP-adressen eller FQDN-en skal samsvare med IP-adressen eller vertsnavnet og domenet du brukte i Konfigurer den hybride virtuelle datamaskinen for datasikkerhet. Det vises en melding som angir at du kan registrere noden din i Webex.
|
| 6 |
Klikk på Gå til node. Etter noen få øyeblikk blir du omdirigert til nodetilkoblingstestene for Webex-tjenester. Hvis alle testene er vellykkede, vises siden Tillat tilgang til hybrid datasikkerhetsnode. Der bekrefter du at du vil gi Webex-organisasjonen din tillatelse til å få tilgang til noden din. |
| 7 |
Merk av i boksen Tillat tilgang til hybrid datasikkerhetsnode, og klikk deretter på Fortsett. Kontoen din er validert, og meldingen «Registrering fullført» indikerer at noden din nå er registrert i Webex Cloud. På siden Hybrid datasikkerhet vises den nye klyngen som inneholder noden du registrerte, under fanen Ressurser. Noden vil automatisk laste ned den nyeste programvaren fra skyen.
|
| 8 |
Gå til fanen Innstillinger og klikk på Aktiver på HDS-statuskortet. Meldingen om aktivert HDS vises nederst på skjermen.
|
| 9 |
Klikk på fanen Tildelte kunder. |
| 10 |
Klikk på Legg til kunder. |
| 11 |
Velg kunden du vil legge til fra rullegardinmenyen. |
| 12 |
Klikk på Legg til, kunden vil bli lagt til i klyngen. |
| 13 |
Gjenta trinn 11 til 13 for å legge til flere kunder i klyngen din. |
| 14 |
Klikk på Ferdig nederst på skjermen når du har lagt til kundene. |
Hva du skal gjøre nå
Bruk OpenSSL til å generere en PKCS12-fil
Før du begynner
-
OpenSSL er et verktøy som kan brukes til å lage PKCS12-filen i riktig format for lasting i HDS Setup Tool. Det finnes andre måter å gjøre dette på, og vi støtter eller fremmer ikke én måte fremfor en annen.
-
Hvis du velger å bruke OpenSSL, tilbyr vi denne prosedyren som en veiledning for å hjelpe deg med å opprette en fil som oppfyller X.509-sertifikatkravene i X.509-sertifikatkrav. Forstå disse kravene før du fortsetter.
-
Installer OpenSSL i et støttet miljø. Se https://www.openssl.org for programvare og dokumentasjon.
-
Opprett en privat nøkkel.
-
Start denne prosedyren når du mottar serversertifikatet fra sertifiseringsinstansen din (CA).
| 1 |
Når du mottar serversertifikatet fra CA-en din, lagrer du det som |
| 2 |
Vis sertifikatet som tekst, og bekreft detaljene.
|
| 3 |
Bruk en teksteditor til å opprette en sertifikatpakkefil kalt
|
| 4 |
Opprett .p12-filen med det egendefinerte navnet
|
| 5 |
Sjekk detaljene for serversertifikatet. |
Hva du skal gjøre nå
Gå tilbake til Fullfør forutsetningene for hybrid datasikkerhet. Du bruker hdsnode.p12 -filen og passordet du har angitt for den i Opprett en konfigurasjons-ISO for HDS-vertene.
Du kan bruke disse filene på nytt for å be om et nytt sertifikat når det opprinnelige sertifikatet utløper.
Trafikk mellom HDS-nodene og skyen
Utgående målinger Innsamling av trafikk
Hybrid datasikkerhetsnodene sender visse målinger til Webex-skyen. Disse inkluderer systemmålinger for heap maks, heap brukt, CPU-belastning og trådantall; målinger på synkrone og asynkrone tråder; målinger på varsler som involverer en terskel for krypteringstilkoblinger, latens eller en forespørselskølengde; målinger på datalageret; og målinger for krypteringstilkoblinger. Nodene sender kryptert nøkkelmateriale over en out-of-band (separat fra forespørselen) kanal.
Innkommende trafikk
Hybride datasikkerhetsnoder mottar følgende typer innkommende trafikk fra Webex-skyen:
-
Krypteringsforespørsler fra klienter, som rutes av krypteringstjenesten
-
Oppgraderinger til nodeprogramvaren
Konfigurer Squid-proxyer for hybrid datasikkerhet
Websocket kan ikke koble til via Squid-proxyen
Squid-proxyer som inspiserer HTTPS-trafikk kan forstyrre etableringen av websocket (wss:)-tilkoblinger som Hybrid Data Security krever. Disse avsnittene gir veiledning om hvordan du konfigurerer ulike versjoner av Squid til å ignorere wss: -trafikk for at tjenestene skal fungere som de skal.
Blekksprut 4 og 5
Legg til on_unsupported_protocol -direktivet i squid.conf:
on_unsupported_protocol tunnel allBlekksprut 3.5.27
Vi testet hybrid datasikkerhet med følgende regler lagt til i squid.conf. Disse reglene kan endres etter hvert som vi utvikler funksjoner og oppdaterer Webex-skyen.
acl wssMercuryConnection ssl::server_name_regex mercury-connection
ssl_bump splice wssMercuryConnection
acl step1 at_step SslBump1
acl step2 at_step SslBump2
acl step3 at_step SslBump3
ssl_bump peek step1 all
ssl_bump stare step2 all
ssl_bump bump step3 allNy og endret informasjon
Ny og endret informasjon
Denne tabellen dekker nye funksjoner eller funksjonalitet, endringer i eksisterende innhold og eventuelle store feil som ble løst i distribusjonsveiledningen for hybriddatasikkerhet for flere leietakere.
|
Dato |
Endringer gjort |
|---|---|
|
08. januar 2025 |
La til en merknad i Utfør innledende konfigurering og nedlasting av installasjonsfiler som sier at det er et viktig trinn i installasjonsprosessen å klikke på Konfigurer på HDS-kortet i Partner Hub. |
|
07. januar 2025 |
Oppdaterte krav til virtuell vert, oppgaveflyt for distribusjon av hybrid datasikkerhet og Installer HDS Host OVA for å vise nye krav til ESXi 7.0. |
|
13. desember 2024 |
Først publisert. |
Deaktivere hybriddatasikkerhet for flere leietakere
Oppgaveflyt for deaktivering av HDS for flere leietakere
Følg disse trinnene for å deaktivere HDS for flere leietakere fullstendig.
Før du begynner
| 1 |
Fjern alle kunder fra alle klyngene dine, som nevnt i Fjern leietakerorganisasjoner. |
| 2 |
Tilbakekall CMK-er for alle kunder, som nevnt i Tilbakekall CMK-er for leiere som er fjernet fra HDS.. |
| 3 |
Fjern alle noder fra alle klyngene dine, som nevnt i Fjern en node. |
| 4 |
Slett alle klyngene dine fra Partner Hub ved hjelp av én av følgende to metoder.
|
| 5 |
Klikk på fanen Innstillinger på oversiktssiden for hybriddatasikkerhet, og klikk på Deaktiver HDS på HDS-statuskortet. |
Kom i gang med hybriddatasikkerhet for flere leietakere
Oversikt over hybriddatasikkerhet for flere leietakere
Fra dag én har datasikkerhet vært hovedfokuset i utformingen av Webex-appen. Hjørnesteinen i denne sikkerheten er innholdskryptering fra ende-til-ende, aktivert av Webex-appklienter som samhandler med Key Management Service (KMS). KMS er ansvarlig for å opprette og administrere kryptografiske nøkler som klienter bruker til dynamisk kryptering og dekryptering av meldinger og filer.
Som standard får alle Webex-appkunder ende-til-ende-kryptering med dynamiske nøkler lagret i skyen KMS, i Ciscos sikkerhetsområde. Hybrid Data Security flytter KMS og andre sikkerhetsrelaterte funksjoner til bedriftens datasenter, så ingen andre enn deg har nøklene til ditt krypterte innhold.
Hybriddatasikkerhet med flere leietakere gjør det mulig for organisasjoner å utnytte HDS gjennom en klarert lokal partner, som kan fungere som tjenesteleverandør og administrere lokal kryptering og andre sikkerhetstjenester. Dette oppsettet gjør det mulig for partnerorganisasjonen å ha full kontroll over distribusjon og administrasjon av krypteringsnøkler og sikrer at brukerdata fra kundeorganisasjoner er trygge mot ekstern tilgang. Partnerorganisasjoner setter opp HDS-forekomster og oppretter HDS-klynger etter behov. Hver forekomst kan støtte flere kundeorganisasjoner i motsetning til en vanlig HDS-distribusjon som er begrenset til én enkelt organisasjon.
Dette gjør det også mulig for mindre organisasjoner å utnytte HDS, siden tjeneste for nøkkeladministrasjon og sikkerhetsinfrastruktur som datasentre eies av den klarerte lokale partneren.
Hvordan hybriddatasikkerhet for flere leietakere gir datasuverenitet og datakontroll
- Brukergenerert innhold er beskyttet mot ekstern tilgang, for eksempel skytjenesteleverandører.
- Lokale klarerte partnere administrerer krypteringsnøklene til kunder de allerede har etablert relasjoner med.
- Alternativ for lokal teknisk støtte, hvis den leveres av partneren.
- Støtter innhold i møter, meldinger og anrop.
Dette dokumentet er ment å hjelpe partnerorganisasjoner med å konfigurere og administrere kunder under et hybriddatasikkerhetssystem for flere leietakere.
Roller i hybriddatasikkerhet for flere leietakere
- Fullstendig partneradministrator – Kan administrere innstillinger for alle kunder som partneren administrerer. Kan også tilordne administratorroller til eksisterende brukere i organisasjonen og tilordne bestemte kunder som skal administreres av partneradministratorer.
- Partneradministrator – Kan administrere innstillinger for kunder som administratoren har klargjort, eller som er tilordnet brukeren.
- Fullverdig administrator – Administrator for partnerorganisasjonen som er autorisert til å utføre oppgaver som å endre organisasjonsinnstillinger, administrere lisenser og tilordne roller.
- Oppsett og administrasjon av HDS med flere leietakere fra ende til ende for alle kundeorganisasjoner – fullstendig partneradministrator og fullstendige administratorrettigheter kreves.
- Administrasjon av tilordnede leietakerorganisasjoner – Partneradministrator og fullstendige administratorrettigheter kreves.
Sikkerhetsområde arkitektur
Webex-skyarkitekturen skiller forskjellige typer tjenester inn i separate områder, eller klareringsdomener, som vist nedenfor.
For å forstå hybrid datasikkerhet ytterligere, la oss først se på dette rene skytilfellet, der Cisco leverer alle funksjonene i sine skyområder. Identitetstjenesten, det eneste stedet der brukere kan være direkte korrelert med sine personopplysninger, for eksempel e-postadresse, er logisk og fysisk adskilt fra sikkerhetsområdet i datasenter B. Begge er i sin tur adskilt fra området der kryptert innhold lagres, i datasenter C.
I dette diagrammet er klienten Webex-appen som kjører på en brukers bærbare datamaskin, og er godkjent med identitetstjenesten. Når brukeren skriver en melding som skal sendes til et område, utføres følgende trinn:
-
Klienten oppretter en sikker tilkobling til nøkkeladministrasjonstjenesten (KMS), og ber deretter om en nøkkel for å kryptere meldingen. Den sikre tilkoblingen bruker ECDH, og KMS krypterer nøkkelen ved hjelp av en hovednøkkel AES-256.
-
Meldingen krypteres før den forlater klienten. Klienten sender det til indekseringstjenesten, som oppretter krypterte søkeindekser for å hjelpe i fremtidige søk etter innholdet.
-
Den krypterte meldingen sendes til samsvarstjenesten for kontroll av samsvar.
-
Den krypterte meldingen lagres i lagringsområdet.
Når du distribuerer hybrid datasikkerhet, flytter du sikkerhetsområdefunksjonene (KMS, indeksering og samsvar) til det lokale datasenteret. De andre skytjenestene som utgjør Webex (inkludert identitets- og innholdslagring) forblir i Ciscos områder.
Samarbeide med andre organisasjoner
Brukere i organisasjonen kan regelmessig bruke Webex-appen til å samarbeide med eksterne deltakere i andre organisasjoner. Når en av brukerne ber om en nøkkel for et område som eies av organisasjonen din (fordi det ble opprettet av en av brukerne), sender KMS nøkkelen til klienten via en ECDH-sikret kanal. Når en annen organisasjon eier nøkkelen for området, sender KMS imidlertid forespørselen ut til Webex-skyen via en egen ECDH-kanal for å hente nøkkelen fra den aktuelle KMS, og returnerer deretter nøkkelen til brukeren din på den opprinnelige kanalen.
KMS-tjenesten som kjører på Org A, validerer tilkoblingene til KMS i andre organisasjoner ved hjelp av x.509 PKI-sertifikater. Se Forbered miljøet hvis du vil ha mer informasjon om hvordan du genererer et x.509-sertifikat som skal brukes med distribusjonen av hybriddatasikkerhet for flere leietakere.
Forventninger til distribusjon av hybrid datasikkerhet
En distribusjon av hybrid datasikkerhet krever betydelig forpliktelse og bevissthet om risikoene som følger med å eie krypteringsnøkler.
For å distribuere hybrid datasikkerhet må du oppgi:
-
Et sikkert datasenter i et land som er et støttet sted for Cisco Webex Teams-planene.
-
Utstyret, programvaren og nettverkstilgangen som er beskrevet i Forbered miljøet.
Fullstendig tap av enten konfigurasjons-ISO-en du bygger for hybriddatasikkerhet eller databasen du leverer, vil føre til tap av nøklene. Nøkkeltap hindrer brukere i å dekryptere områdeinnhold og andre krypterte data i Webex-appen. Hvis dette skjer, kan du bygge en ny distribusjon, men bare nytt innhold vil være synlig. For å unngå tap av tilgang til data må du:
-
Administrer sikkerhetskopiering og gjenoppretting av databasen og konfigurasjons-ISO.
-
Vær forberedt på å utføre rask katastrofegjenoppretting hvis en katastrofe oppstår, for eksempel databasediskfeil eller datasenterkatastrofe.
Det finnes ingen mekanisme for å flytte nøkler tilbake til skyen etter en HDS-distribusjon.
Oppsettsprosess på høyt nivå
Dette dokumentet dekker oppsettet og administrasjonen av en distribusjon av hybriddatasikkerhet for flere leietakere:
-
Konfigurere hybrid datasikkerhet – Dette inkluderer klargjøring av nødvendig infrastruktur og installering av hybrid datasikkerhetsprogramvare, bygging av en HDS-klynge, tillegging av leierorganisasjoner i klyngen og administrasjon av kundens hovednøkler (CMK-er). Dette vil gjøre det mulig for alle brukere i kundeorganisasjonene dine å bruke den hybride datasikkerhetsklyngen til sikkerhetsfunksjoner.
Installasjons-, aktiverings- og administrasjonsfasene er beskrevet i detalj i de neste tre kapitlene.
-
Oppretthold distribusjonen av hybrid datasikkerhet – Webex-skyen gir automatisk pågående oppgraderinger. IT-avdelingen din kan gi støtte på nivå én for denne distribusjonen, og engasjere Cisco-støtte etter behov. Du kan bruke varsler på skjermen og konfigurere e-postbaserte varsler i Partner Hub.
-
Forstå vanlige varsler, feilsøkingstrinn og kjente problemer– Hvis du har problemer med å distribuere eller bruke hybriddatasikkerhet, kan det siste kapitlet i denne veiledningen og vedlegget Kjente problemer hjelpe deg med å finne og løse problemet.
Distribusjonsmodell for hybrid datasikkerhet
I bedriftens datasenter distribuerer du hybrid datasikkerhet som én klynge med noder på separate virtuelle verter. Nodene kommuniserer med Webex-skyen via sikre websockets og sikre HTTP.
Under installasjonsprosessen gir vi deg OVA-filen for å konfigurere det virtuelle apparatet på VM-ene du leverer. Du bruker HDS-installasjonsverktøyet til å opprette en egendefinert ISO-fil for klyngekonfigurasjon som du monterer på hver node. Den hybride datasikkerhetsklyngen bruker den oppgitte Syslogd-serveren og PostgreSQL- eller Microsoft SQL Server-databasen. (Du konfigurerer Syslogd- og databasetilkoblingsdetaljene i HDS-installasjonsverktøyet.)
Minimum antall noder du kan ha i en klynge, er to. Vi anbefaler minst tre per klynge. Å ha flere noder sikrer at tjenesten ikke avbrytes under en programvareoppgradering eller annen vedlikeholdsaktivitet på en node. (Webex-skyen oppgraderer bare én node om gangen.)
Alle noder i en klynge får tilgang til samme nøkkeldatalager og loggaktivitet til samme syslog-server. Nodene selv er statsløse, og håndterer nøkkelforespørsler på rund-robin-modus, som styres av skyen.
Noder blir aktive når du registrerer dem i Partner Hub. Hvis du vil ta en individuell node ut av drift, kan du avregistrere den og senere registrere den på nytt om nødvendig.
Standby Data Center for katastrofegjenoppretting
Under distribusjonen setter du opp et sikkert standbydatasenter. I tilfelle en datasenterkatastrofe, kan du manuelt mislykkes distribusjonen til standbydatasenteret.
Databasene til de aktive datasentrene og standbydatasentrene er synkronisert med hverandre, noe som vil minimere tiden det tar å utføre failover.
De aktive nodene for hybriddatasikkerhet må alltid være i samme datasenter som den aktive databaseserveren.
Proxy-støtte
Hybrid Data Security støtter eksplisitte, gjennomsiktige inspeksjons- og ikke-inspeksjons-proxyer. Du kan knytte disse proxyene til distribusjonen slik at du kan sikre og overvåke trafikk fra bedriften og ut til skyen. Du kan bruke et plattformadministratorgrensesnitt på nodene for sertifikatadministrasjon og for å kontrollere den generelle tilkoblingsstatusen etter at du har konfigurert proxyen på nodene.
Nodene for hybriddatasikkerhet støtter følgende proxy-alternativer:
-
Ingen proxy – Standard hvis du ikke bruker HDS-nodeoppsettet Trust Store & Proxy-konfigurasjonen til å integrere en proxy. Ingen sertifikatoppdatering er nødvendig.
-
Gjennomsiktig ikke-inspeksjons-proxy– Nodene er ikke konfigurert til å bruke en bestemt proxy-serveradresse og bør ikke kreve endringer for å fungere med en ikke-inspeksjons-proxy. Ingen sertifikatoppdatering er nødvendig.
-
Gjennomsiktig tunnelering eller inspeksjons-proxy– Nodene er ikke konfigurert til å bruke en bestemt proxy-serveradresse. Ingen endringer i HTTP- eller HTTPS-konfigurasjonen er nødvendig på nodene. Nodene trenger imidlertid et rotsertifikat slik at de stoler på proxyen. Inspeksjons-proxyer brukes vanligvis av IT til å håndheve retningslinjer for hvilke nettsteder som kan besøkes og hvilke typer innhold som ikke er tillatt. Denne typen proxy dekrypterer all trafikken din (til og med HTTPS).
-
Eksplisitt proxy – Med eksplisitt proxy forteller du HDS-nodene hvilken proxy-server og godkjenningsskjema som skal brukes. Hvis du vil konfigurere en eksplisitt proxy, må du angi følgende informasjon på hver node:
-
Proxy-IP/FQDN – Adresse som kan brukes til å nå proxy-maskinen.
-
Proxy-port – Et portnummer som proxyen bruker til å lytte etter proxy-trafikk.
-
Proxy-protokoll – Avhengig av hva proxy-serveren støtter, velger du mellom følgende protokoller:
-
HTTP – viser og kontrollerer alle forespørsler som klienten sender.
-
HTTPS – Gir en kanal til serveren. Klienten mottar og validerer serverens sertifikat.
-
-
Godkjenningstype– velg blant følgende godkjenningstyper:
-
Ingen – Ingen ytterligere godkjenning er nødvendig.
Tilgjengelig hvis du velger enten HTTP eller HTTPS som proxy-protokoll.
-
Grunnleggende – Brukes for en HTTP-brukeragent til å oppgi brukernavn og passord når du foretar en forespørsel. Bruker Base64-koding.
Tilgjengelig hvis du velger enten HTTP eller HTTPS som proxy-protokoll.
Krever at du skriver inn brukernavn og passord for hver node.
-
Sammendrag – Brukes til å bekrefte kontoen før sensitiv informasjon sendes. Bruker en hash-funksjon på brukernavnet og passordet før det sendes over nettverket.
Bare tilgjengelig hvis du velger HTTPS som proxy-protokoll.
Krever at du skriver inn brukernavn og passord for hver node.
-
-
Eksempel på noder og proxy for hybriddatasikkerhet
Dette diagrammet viser en eksempelkobling mellom hybriddatasikkerhet, nettverk og en proxy. For gjennomsiktig inspeksjon og eksplisitt HTTPS-inspeksjons-proxy-alternativer, må det samme rotsertifikatet være installert på proxyen og på nodene for hybriddatasikkerhet.
Blokkert ekstern DNS-oppløsningsmodus (eksplisitte proxy-konfigurasjoner)
Når du registrerer en node eller sjekker nodens proxy-konfigurasjon, tester prosessen DNS-oppslag og tilkobling til Cisco Webex-skyen. I distribusjoner med eksplisitte proxy-konfigurasjoner som ikke tillater ekstern DNS-oppløsning for interne klienter, går den automatisk inn i blokkert ekstern DNS-oppløsning-modus hvis noden ikke kan spørre DNS-serverne. I denne modusen kan noderegistrering og andre proxy-tilkoblingstester fortsette.
Forbered miljøet ditt
Krav til hybriddatasikkerhet for flere leietakere
Krav til Cisco Webex-lisens
Slik distribuerer du hybriddatasikkerhet for flere leietakere:
-
Partnerorganisasjoner: Kontakt din Cisco-partner eller kontoadministrator og sørg for at funksjonen for flere leietakere er aktivert.
-
Leietakerorganisasjoner: Du må ha Pro Pack for Cisco Webex Control Hub. (Se https://www.cisco.com/go/pro-pack.)
Krav til Docker-skrivebord
Før du installerer HDS-nodene, trenger du Docker Desktop for å kjøre et installasjonsprogram. Docker oppdaterte nylig sin lisensieringsmodell. Organisasjonen din kan kreve et betalt abonnement på Docker Desktop. Hvis du vil ha mer informasjon, kan du se innlegget til Docker-bloggen, «Docker oppdaterer og utvider våre produktabonnementer».
X.509-sertifikatkrav
Sertifikatkjeden må oppfylle følgende krav:
|
Krav |
Detaljer |
|---|---|
|
Som standard stoler vi på sertifiseringsinstansene i Mozilla-listen (med unntak av WoSign og StartCom) på https://wiki.mozilla.org/CA:IncludedCAs. |
|
CN trenger ikke å være tilgjengelig eller en direkte vert. Vi anbefaler at du bruker et navn som gjenspeiler organisasjonen din, for eksempel CN kan ikke inneholde et * (jokertegn). CN brukes til å bekrefte nodene for hybriddatasikkerhet til Webex-appklienter. Alle nodene for hybriddatasikkerhet i klyngen bruker det samme sertifikatet. KMS identifiserer seg selv ved hjelp av CN-domenet, ikke et domene som er definert i x.509v3 SAN-feltene. Når du har registrert en node med dette sertifikatet, støtter vi ikke endring av CN-domenenavnet. |
|
KMS-programvaren støtter ikke SHA1-signaturer for validering av tilkoblinger til andre organisasjons KMS-er. |
|
Du kan bruke en konverter som OpenSSL til å endre sertifikatets format. Du må angi passordet når du kjører HDS-installasjonsverktøyet. |
KMS-programvaren håndhever ikke nøkkelbruk eller utvidede begrensninger for nøkkelbruk. Noen sertifikatmyndigheter krever at utvidede nøkkelbruksbegrensninger brukes på hvert sertifikat, for eksempel servergodkjenning. Det er greit å bruke servergodkjenningen eller andre innstillinger.
Krav til virtuell vert
De virtuelle vertene som du vil konfigurere som Hybrid Data Security-noder i klyngen har følgende krav:
-
Minst to separate verter (3 anbefales) plassert i samme sikre datasenter
-
VMware ESXi 7.0 (eller nyere) installert og kjører.
Du må oppgradere hvis du har en tidligere versjon av ESXi.
-
Minimum 4 vCPU-er, 8 GB hovedminne, 30 GB lokalt harddiskplass per server
Krav til databaseserver
Opprett en ny database for nøkkellagring. Ikke bruk standarddatabasen. HDS-programmene oppretter databaseskjemaet når de er installert.
Det finnes to alternativer for databaseserver. Kravene til hver av dem er som følger:
|
PostgreSql |
Microsoft SQL Server |
|---|---|
|
|
|
Minimum 8 vCPU-er, 16 GB hovedminne, tilstrekkelig harddiskplass og overvåking for å sikre at det ikke overskrides (2 TB anbefales hvis du vil kjøre databasen i lang tid uten å måtte øke lagringsplassen) |
Minimum 8 vCPU-er, 16 GB hovedminne, tilstrekkelig harddiskplass og overvåking for å sikre at det ikke overskrides (2 TB anbefales hvis du vil kjøre databasen i lang tid uten å måtte øke lagringsplassen) |
HDS-programvaren installerer for øyeblikket følgende driverversjoner for kommunikasjon med databaseserveren:
|
PostgreSql |
Microsoft SQL Server |
|---|---|
|
Postgres JDBC driver 42.2.5 |
SQL Server JDBC driver 4.6 Denne driverversjonen støtter SQL Server Always On (Always On Failover Cluster Instances og Always On Availability Groups). |
Ytterligere krav for Windows-godkjenning mot Microsoft SQL Server
Hvis du vil at HDS-noder skal bruke Windows-godkjenning for å få tilgang til Keystore-databasen på Microsoft SQL Server, trenger du følgende konfigurasjon i miljøet ditt:
-
HDS-nodene, Active Directory-infrastrukturen og MS SQL Server må alle synkroniseres med NTP.
-
Windows-kontoen du oppgir til HDS-noder, må ha lese-/skrivetilgang til databasen.
-
DNS-serverne du leverer til HDS-noder, må kunne løse nøkkeldistribusjonssenteret (KDC).
-
Du kan registrere HDS-databaseforekomsten på Microsoft SQL Server som et tjenestehovednavn (SPN) i Active Directory. Se Registrer tjenestens hovednavn for Kerberos-tilkoblinger.
HDS-installasjonsverktøyet, HDS-oppstartsprogrammet og lokal KMS må bruke Windows-godkjenning for å få tilgang til nøkkelbutikkdatabasen. De bruker detaljene fra ISO-konfigurasjonen til å konstruere SPN-en når de ber om tilgang med Kerberos-godkjenning.
Krav til ekstern tilkobling
Konfigurer brannmuren slik at den tillater følgende tilkobling for HDS-programmene:
|
Applikasjon |
Protokoll |
Port |
Retning fra appen |
Destinasjon |
|---|---|---|---|---|
|
Noder for hybriddatasikkerhet |
tcp |
443 |
Utgående HTTPS og WSS |
|
|
HDS-oppsettsverktøy |
tcp |
443 |
Utgående HTTPS |
|
Nodene for hybriddatasikkerhet fungerer med oversettelse av nettverkstilgang (NAT) eller bak en brannmur, så lenge NAT eller brannmuren tillater de nødvendige utgående tilkoblingene til domenet-målene i tabellen ovenfor. Ingen porter skal være synlige fra Internett for tilkoblinger som går inn til nodene for hybriddatasikkerhet. I datasenteret trenger klienter tilgang til nodene for hybriddatasikkerhet på TCP-portene 443 og 22 av administrative grunner.
URL-adressene for Common Identity (CI)-vertene er områdespesifikke. Dette er de gjeldende CI-vertene:
|
Region |
URL-adresser for Common Identity Host |
|---|---|
|
Nord-Amerika |
|
|
Den europeiske union |
|
|
Canada |
|
| Singapore |
|
| De forente arabiske emirater |
|
Krav til proxy-server
-
Vi støtter offisielt følgende proxy-løsninger som kan integreres med nodene for hybriddatasikkerhet.
-
Gjennomsiktig proxy – Cisco Web Security Appliance (WSA).
-
Eksplisitt proxy – Squid.
Squid-proxyer som inspiserer HTTPS-trafikk kan forstyrre opprettelsen av websocket-tilkoblinger (wss:). Hvis du vil omgå dette problemet, kan du se Konfigurere Squid-proxyer for hybriddatasikkerhet.
-
-
Vi støtter følgende kombinasjoner av godkjenningstyper for eksplisitte proxyer:
-
Ingen godkjenning med HTTP eller HTTPS
-
Grunnleggende godkjenning med HTTP eller HTTPS
-
Digest-godkjenning kun med HTTPS
-
-
For en gjennomsiktig inspeksjons-proxy eller en eksplisitt HTTPS-proxy, må du ha en kopi av proxyens rotsertifikat. Distribusjonsinstruksjonene i denne veiledningen forteller deg hvordan du laster opp kopien til klareringslagrene for hybriddatasikkerhetsnodene.
-
Nettverket som er vert for HDS-nodene, må konfigureres til å tvinge utgående TCP-trafikk på port 443 til å rute gjennom proxyen.
-
Proxyer som inspiserer webtrafikk kan forstyrre Web Socket-tilkoblinger. Hvis dette problemet oppstår, vil det å omgå (ikke inspisere) trafikk til
wbx2.com, ogciscospark.comvil løse problemet.
Fullfør forutsetningene for hybrid datasikkerhet
| 1 |
Sørg for at partnerorganisasjonen din har HDS-funksjonen for flere leietakere aktivert og få legitimasjonen til en konto med fullstendig partneradministrator og fullstendige administratorrettigheter. Påse at Webex-kundeorganisasjonen er aktivert for Pro Pack for Cisco Webex Control Hub. Kontakt din Cisco-partner eller kontoadministrator for å få hjelp med denne prosessen. Kundeorganisasjoner skal ikke ha noen eksisterende HDS-distribusjon. |
| 2 |
Velg et domenenavn for HDS-distribusjonen (for eksempel |
| 3 |
Klargjør identiske virtuelle verter som du vil konfigurere som Hybrid Data Security-noder i klyngen. Du trenger minst to separate verter (3 anbefales) plassert i samme sikre datasenter, som oppfyller kravene i Krav til virtuelle verter. |
| 4 |
Klargjør databaseserveren som skal fungere som nøkkeldatalager for klyngen, i henhold til Databaseserverkrav. Databaseserveren må være plassert i det sikre datasenteret med de virtuelle vertene. |
| 5 |
For rask katastrofegjenoppretting konfigurerer du et sikkerhetskopieringsmiljø i et annet datasenter. Sikkerhetskopieringsmiljøet gjenspeiler produksjonsmiljøet til VM-er og en sikkerhetskopidatabaseserver. Hvis for eksempel produksjonen har 3 VM-er som kjører HDS-noder, skal sikkerhetskopieringsmiljøet ha 3 VM-er. |
| 6 |
Sett opp en syslog-vert for å samle inn logger fra nodene i klyngen. Samle nettverksadressen og syslog-porten (standard er UDP 514). |
| 7 |
Opprett en sikker sikkerhetskopieringspolicy for nodene for hybriddatasikkerhet, databaseserveren og syslog-verten. For å forhindre ugjenopprettelig tap av data må du som minimum sikkerhetskopiere databasen og konfigurasjonsfilen som genereres for nodene for hybriddatasikkerhet. Fordi nodene for hybriddatasikkerhet lagrer nøklene som brukes til kryptering og dekryptering av innhold, vil manglende vedlikehold av en operativ distribusjon føre til UGJENOPPRETTELIG TAP av dette innholdet. Webex-appklienter bufrer nøklene sine, så det kan hende at et driftsbrudd ikke er umiddelbart merkbart, men vil bli tydelig over tid. Selv om midlertidige avbrudd er umulig å forhindre, kan de gjenopprettes. Fullstendig tap (ingen sikkerhetskopieringer tilgjengelig) av enten databasen eller konfigurasjons-ISO-filen vil imidlertid føre til ugjenopprettbare kundedata. Operatørene av nodene for hybriddatasikkerhet forventes å opprettholde hyppige sikkerhetskopieringer av databasen og konfigurasjonsfilen, og være forberedt på å gjenoppbygge datasenteret for hybriddatasikkerhet hvis det oppstår en katastrofal feil. |
| 8 |
Kontroller at brannmurkonfigurasjonen tillater tilkobling for hybriddatasikkerhetsnodene som beskrevet i Krav til ekstern tilkobling. |
| 9 |
Installer Docker ( https://www.docker.com) på en hvilken som helst lokal maskin som kjører et støttet operativsystem (Microsoft Windows 10 Professional eller Enterprise 64-biters, eller Mac OSX Yosemite 10.10.3 eller nyere) med en nettleser som har tilgang til det på http://127.0.0.1:8080. Du bruker Docker-forekomsten til å laste ned og kjøre HDS-installasjonsverktøyet, som bygger den lokale konfigurasjonsinformasjonen for alle nodene for hybriddatasikkerhet. Du trenger kanskje en Docker Desktop-lisens. Se Krav til Docker Desktop for mer informasjon. For å installere og kjøre HDS-installasjonsverktøyet må den lokale maskinen ha tilkoblingen beskrevet i Krav til ekstern tilkobling. |
| 10 |
Hvis du integrerer en proxy med hybriddatasikkerhet, må du sørge for at den oppfyller kravene til proxy-serveren. |
Konfigurere en klynge for hybriddatasikkerhet
Oppgaveflyt for distribusjon av hybrid datasikkerhet
| 1 |
Utfør første konfigurasjon og last ned installasjonsfiler Last ned OVA-filen til din lokale maskin for senere bruk. |
| 2 |
Opprette en konfigurasjons-ISO for HDS-verter Bruk HDS-installasjonsverktøyet til å opprette en ISO-konfigurasjonsfil for nodene for hybriddatasikkerhet. |
| 3 |
Opprett en virtuell maskin fra OVA-filen og utfør første konfigurasjon, for eksempel nettverksinnstillinger. Alternativet for å konfigurere nettverksinnstillinger under OVA-distribusjon er testet med ESXi 7.0. Alternativet er kanskje ikke tilgjengelig i tidligere versjoner. |
| 4 |
Konfigurere VM for hybriddatasikkerhet Logg på VM-konsollen og angi påloggingslegitimasjonen. Konfigurer nettverksinnstillingene for noden hvis du ikke konfigurerte dem da OVA ble distribuert. |
| 5 |
Laste opp og montere konfigurasjons-ISO for HDS Konfigurer VM fra ISO-konfigurasjonsfilen du opprettet med HDS-installasjonsverktøyet. |
| 6 |
Konfigurere HDS-noden for proxy-integrering Hvis nettverksmiljøet krever proxy-konfigurasjon, angir du hvilken type proxy du vil bruke for noden, og legger til proxy-sertifikatet i klareringslageret om nødvendig. |
| 7 |
Registrer den første noden i klyngen Registrer VM med Cisco Webex-skyen som en hybrid datasikkerhetsnode. |
| 8 |
Opprett og registrer flere noder Fullfør klyngeoppsettet. |
| 9 |
Aktiver HDS for flere leietakere på Partner Hub. Aktiver HDS og administrer leierorganisasjoner på Partner Hub. |
Utfør første konfigurasjon og last ned installasjonsfiler
I denne oppgaven laster du ned en OVA-fil til maskinen din (ikke til serverne du konfigurerer som Hybrid Data Security-noder). Du bruker denne filen senere i installasjonsprosessen.
| 1 |
Logg på Partner Hub, og klikk deretter på Tjenester. |
| 2 |
Finn kortet for hybriddatasikkerhet under Skytjenester, og klikk deretter på Konfigurer. Å klikke på Konfigurer i Partner Hub er avgjørende for distribusjonsprosessen. Ikke fortsett med installasjonen uten å fullføre dette trinnet. |
| 3 |
Klikk på Legg til en ressurs , og klikk på Last ned .OVA-fil på kortet Installer og konfigurer programvare . Eldre versjoner av programvarepakken (OVA) vil ikke være kompatible med de nyeste oppgraderingene for hybriddatasikkerhet. Dette kan føre til problemer under oppgradering av programmet. Sørg for at du laster ned den nyeste versjonen av OVA-filen. Du kan også laste ned OVA når som helst fra Hjelp -delen. Klikk på . OVA-filen begynner automatisk å lastes ned. Lagre filen på en plassering på maskinen.
|
| 4 |
Du kan eventuelt klikke på Se distribusjonsveiledning for hybriddatasikkerhet for å sjekke om det finnes en senere versjon av denne veiledningen. |
Opprette en konfigurasjons-ISO for HDS-verter
Installasjonsprosessen for hybriddatasikkerhet oppretter en ISO-fil. Deretter bruker du ISO til å konfigurere verten for hybriddatasikkerhet.
Før du begynner
-
HDS-installasjonsverktøyet kjører som en Docker-beholder på en lokal maskin. Kjør Docker på maskinen for å få tilgang til den. Installasjonsprosessen krever legitimasjonen til en Partner Hub-konto med fulle administratorrettigheter.
Hvis HDS-installasjonsverktøyet kjører bak en proxy i miljøet ditt, må du oppgi proxy-innstillingene (server, port, legitimasjon) gjennom Docker-miljøvariablene når du tar opp Docker-beholderen i trinn 5 nedenfor. Denne tabellen viser noen mulige miljøvariabler:
Beskrivelse
Variabel
HTTP-proxy uten autentisering
GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORTHTTPS-proxy uten autentisering
GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORTHTTP-proxy med autentisering
GLOBAL_AGENT_HTTP_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORTHTTPS-proxy med autentisering
GLOBAL_AGENT_HTTPS_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT -
ISO-konfigurasjonsfilen du genererer, inneholder hovednøkkelen som krypterer PostgreSQL- eller Microsoft SQL Server-databasen. Du trenger den nyeste kopien av denne filen hver gang du gjør konfigurasjonsendringer, for eksempel disse:
-
Databaselegitimasjon
-
Sertifikatoppdateringer
-
Endringer i godkjenningspolicyen
-
-
Hvis du planlegger å kryptere databasetilkoblinger, konfigurerer du distribusjonen av PostgreSQL eller SQL Server for TLS.
| 1 |
På maskinens kommandolinje angir du riktig kommando for miljøet: I vanlige miljøer: I FedRAMP-miljøer: Dette trinnet rydder opp tidligere HDS-installasjonsverktøy bilder. Hvis det ikke finnes noen tidligere bilder, returnerer det en feil som du kan ignorere. | ||||||||||
| 2 |
Skriv inn følgende for å logge på Docker-bilderegisteret: | ||||||||||
| 3 |
Skriv inn denne hashen når du blir bedt om passord: | ||||||||||
| 4 |
Last ned det nyeste stabile bildet for miljøet ditt: I vanlige miljøer: I FedRAMP-miljøer: | ||||||||||
| 5 |
Når trekket er fullført, skriver du inn riktig kommando for ditt miljø:
Når containeren kjører, ser du "Express server lytter på port 8080." | ||||||||||
| 6 |
Installasjonsverktøyet støtter ikke tilkobling til localhost via http://localhost:8080. Bruk http://127.0.0.1:8080 for å koble til localhost. Bruk en nettleser til å gå til localhost, Verktøyet bruker denne første oppføringen av brukernavnet til å angi riktig miljø for kontoen. Verktøyet viser deretter standard påloggingsmelding. | ||||||||||
| 7 |
Når du blir bedt om det, skriver du inn påloggingslegitimasjonen for Partner Hub-administrator, og klikker deretter på Logg på for å gi tilgang til de nødvendige tjenestene for hybriddatasikkerhet. | ||||||||||
| 8 |
Klikk på Kom i gang på oversiktssiden for oppsettsverktøyet. | ||||||||||
| 9 |
På siden ISO-import har du disse alternativene:
| ||||||||||
| 10 |
Kontroller at X.509-sertifikatet oppfyller kravene i X.509-sertifikatkrav.
| ||||||||||
| 11 |
Skriv inn databaseadressen og kontoen for HDS for å få tilgang til nøkkeldatalageret: | ||||||||||
| 12 |
Velg en TLS-databasetilkoblingsmodus:
Når du laster opp rotsertifikatet (om nødvendig) og klikker på Fortsett, tester HDS-installasjonsverktøyet TLS-tilkoblingen til databaseserveren. Verktøyet bekrefter også sertifikatsigneringen og vertsnavnet, hvis aktuelt. Hvis en test mislykkes, viser verktøyet en feilmelding som beskriver problemet. Du kan velge om du vil ignorere feilen og fortsette med oppsettet. (På grunn av tilkoblingsforskjeller kan HDS-nodene være i stand til å etablere TLS-tilkoblingen selv om HDS-installasjonsverktøyet ikke kan teste den.) | ||||||||||
| 13 |
På siden Systemlogger konfigurerer du Syslogd-serveren: | ||||||||||
| 14 |
(Valgfritt) Du kan endre standardverdien for noen parametere for databasetilkobling i Avanserte innstillinger. Generelt er denne parameteren den eneste du kanskje vil endre: | ||||||||||
| 15 |
Klikk på Fortsett på skjermen Tilbakestill passord for tjenestekontoer . Passord for tjenestekontoen har en levetid på ni måneder. Bruk dette skjermbildet når passordene nærmer seg utløpsdatoen, eller du vil tilbakestille dem til å ugyldiggjøre tidligere ISO-filer. | ||||||||||
| 16 |
Klikk på Last ned ISO-fil. Lagre filen på et sted som er lett å finne. | ||||||||||
| 17 |
Ta en sikkerhetskopi av ISO-filen på ditt lokale system. Behold sikkerhetskopien sikker. Denne filen inneholder en hovedkrypteringsnøkkel for databaseinnholdet. Begrens tilgangen til bare de hybriddatasikkerhetsadministratorene som skal foreta konfigurasjonsendringer. | ||||||||||
| 18 |
Hvis du vil slå av installasjonsverktøyet, skriver du inn |
Hva du skal gjøre nå
Sikkerhetskopier ISO-konfigurasjonsfilen. Du trenger den for å opprette flere noder for gjenoppretting, eller for å gjøre konfigurasjonsendringer. Hvis du mister alle kopier av ISO-filen, har du også mistet hovednøkkelen. Det er ikke mulig å gjenopprette nøklene fra PostgreSQL- eller Microsoft SQL Server-databasen.
Vi har aldri en kopi av denne nøkkelen og kan ikke hjelpe hvis du mister den.
Installere HDS Host OVA
| 1 |
Bruk VMware vSphere-klienten på datamaskinen for å logge på den virtuelle ESXi-verten. |
| 2 |
Velg Fil > Distribuer OVF-mal. |
| 3 |
I veiviseren angir du plasseringen til OVA-filen du lastet ned tidligere, og klikker deretter på Neste. |
| 4 |
På siden Velg et navn og mappe skriver du inn et Virtuelt maskinnavn for noden (for eksempel «HDS_Node_1»), velger et sted der den virtuelle maskinnodedistribusjonen kan ligge, og klikker deretter på Neste. |
| 5 |
På siden Velg en beregningsressurs velger du destinasjonsberegningsressursen, og klikker deretter på Neste. En valideringskontroll kjører. Når den er ferdig, vises maldetaljene. |
| 6 |
Bekreft maldetaljene, og klikk deretter på Neste. |
| 7 |
Hvis du blir bedt om å velge ressurskonfigurasjonen på Konfigurasjon -siden, klikker du på 4 CPU og klikker deretter på Neste. |
| 8 |
På siden Velg lagring klikker du på Neste for å godta standard diskformat og retningslinjer for lagring av VM. |
| 9 |
På siden Velg nettverk velger du nettverksalternativet fra listen over oppføringer for å gi ønsket tilkobling til VM-en. |
| 10 |
Konfigurer følgende nettverksinnstillinger på siden Tilpass mal :
Hvis du vil, kan du hoppe over konfigurasjonen av nettverksinnstillingene og følge trinnene i Konfigurere VM for hybriddatasikkerhet for å konfigurere innstillingene fra nodekonsollen. Alternativet for å konfigurere nettverksinnstillinger under OVA-distribusjon er testet med ESXi 7.0. Alternativet er kanskje ikke tilgjengelig i tidligere versjoner. |
| 11 |
Høyreklikk på noden VM, og velg deretter . Programvaren for hybrid datasikkerhet installeres som gjest på VM-verten. Du er nå klar til å logge på konsollen og konfigurere noden. Feilsøkingstips Du kan oppleve en forsinkelse på noen minutter før nodebeholderne kommer opp. Det vises en brobrannmurmelding på konsollen under første oppstart, hvor du ikke kan logge på. |
Konfigurere VM for hybriddatasikkerhet
Bruk denne fremgangsmåten til å logge på VM-konsollen for hybriddatasikkerhetsnoden for første gang og angi påloggingslegitimasjonen. Du kan også bruke konsollen til å konfigurere nettverksinnstillingene for noden hvis du ikke konfigurerte dem da OVA ble distribuert.
| 1 |
I VMware vSphere-klienten velger du den hybride datasikkerhetsnoden VM og velger fanen Konsoll . VM starter opp og en melding om pålogging vises. Hvis meldingen om pålogging ikke vises, trykker du på Enter.
|
| 2 |
Bruk følgende standard pålogging og passord for å logge på og endre legitimasjonen: Siden du logger på VM for første gang, må du endre administratorpassordet. |
| 3 |
Hvis du allerede har konfigurert nettverksinnstillingene i Installer HDS Host OVA, hopper du over resten av denne prosedyren. Hvis ikke, velger du alternativet Rediger konfigurasjon i hovedmenyen. |
| 4 |
Konfigurer en statisk konfigurasjon med IP-adresse, maske, gateway og DNS-informasjon. Noden din skal ha en intern IP-adresse og et DNS-navn. DHCP støttes ikke. |
| 5 |
(Valgfritt) Endre vertsnavnet, domenet eller NTP-serveren(e) om nødvendig for å samsvare med nettverkspolicyen. Du trenger ikke å angi domenet til å samsvare med domenet du brukte til å skaffe X.509-sertifikatet. |
| 6 |
Lagre nettverkskonfigurasjonen og start VM på nytt slik at endringene trer i kraft. |
Laste opp og montere konfigurasjons-ISO for HDS
Før du begynner
Fordi ISO-filen innehar hovednøkkelen, bør den bare eksponeres på "trenger å vite"-basis, for tilgang for virtuelle maskiner for hybriddatasikkerhet og eventuelle administratorer som må gjøre endringer. Sørg for at bare disse administratorene har tilgang til datalageret.
| 1 |
Last opp ISO-filen fra datamaskinen: |
| 2 |
Montere ISO-fil: |
Hva du skal gjøre nå
Hvis IT-policyen krever det, kan du eventuelt avmontere ISO-filen etter at alle nodene har plukket opp konfigurasjonsendringene. Se (Valgfritt) Avmonter ISO etter HDS-konfigurasjon for detaljer.
Konfigurere HDS-noden for proxy-integrering
Hvis nettverksmiljøet krever en proxy, bruker du denne fremgangsmåten til å angi hvilken type proxy du vil integrere med hybrid datasikkerhet. Hvis du velger en gjennomsiktig inspeksjons-proxy eller en eksplisitt HTTPS-proxy, kan du bruke nodens grensesnitt til å laste opp og installere rotsertifikatet. Du kan også sjekke proxy-tilkoblingen fra grensesnittet, og feilsøke eventuelle problemer.
Før du begynner
-
Se Proxy-støtte for en oversikt over proxy-alternativene som støttes.
| 1 |
Skriv inn URL-adressen for HDS-nodeoppsett |
| 2 |
Gå til Klareringslager og proxy, og velg deretter et alternativ:
Følg de neste trinnene for en gjennomsiktig inspeksjons-proxy, en eksplisitt HTTP-proxy med grunnleggende godkjenning eller en eksplisitt HTTPS-proxy. |
| 3 |
Klikk på Last opp et rotsertifikat eller sluttenhetssertifikat, og gå deretter til å velge rotsertifikatet for proxyen. Sertifikatet er lastet opp, men er ennå ikke installert fordi du må starte noden på nytt for å installere sertifikatet. Klikk på chevron-pilen ved navnet på sertifikatutstederen for å få mer informasjon, eller klikk på Slett hvis du har gjort en feil og vil laste opp filen på nytt. |
| 4 |
Klikk på Kontroller proxy-tilkobling for å teste nettverkstilkoblingen mellom noden og proxyen. Hvis tilkoblingstesten mislykkes, får du en feilmelding som viser årsaken og hvordan du kan løse problemet. Hvis du ser en melding om at den eksterne DNS-oppløsningen ikke var vellykket, kunne ikke noden nå DNS-serveren. Denne tilstanden forventes i mange eksplisitte proxy-konfigurasjoner. Du kan fortsette med oppsettet, og noden vil fungere i modus for blokkert ekstern DNS-oppløsning. Hvis du tror dette er en feil, fullfører du disse trinnene og ser Slå av blokkert ekstern DNS-oppløsningsmodus. |
| 5 |
Etter at tilkoblingstesten er bestått, bare for eksplisitt proxy satt til https, slår du veksleknappen til Rute alle port 443/444 https-forespørsler fra denne noden gjennom den eksplisitte proxyen. Denne innstillingen tar 15 sekunder før den trer i kraft. |
| 6 |
Klikk på Installer alle sertifikater i klareringslageret (vises for en eksplisitt HTTPS-proxy eller en gjennomsiktig inspeksjons-proxy) eller Start på nytt (vises for en eksplisitt HTTP-proxy), les ledeteksten og klikk deretter på Installer hvis du er klar. Noden starter på nytt innen noen få minutter. |
| 7 |
Etter at noden har startet på nytt, logger du på igjen om nødvendig og åpner deretter Oversikt -siden for å sjekke tilkoblingskontrollene for å sikre at alle er i grønn status. Proxy-tilkoblingskontrollen tester bare et underdomene av webex.com. Hvis det er tilkoblingsproblemer, er et vanlig problem at noen av skydomenene som er oppført i installasjonsinstruksjonene, blokkeres ved proxyen. |
Registrer den første noden i klyngen
Når du registrerer din første node, oppretter du en klynge som noden er tilordnet til. En klynge inneholder én eller flere noder som er distribuert for å gi redundans.
Før du begynner
-
Når du begynner å registrere en node, må du fullføre den innen 60 minutter, eller du må starte på nytt.
-
Sørg for at eventuelle popup-blokkere i nettleseren er deaktivert, eller at du tillater et unntak for admin.webex.com.
| 1 |
Logg på https://admin.webex.com. |
| 2 |
Velg Tjenester fra menyen til venstre på skjermen. |
| 3 |
I delen Skytjenester finner du kortet for hybriddatasikkerhet og klikker på Konfigurer. |
| 4 |
Klikk på Legg til en ressurs på siden som åpnes. |
| 5 |
I det første feltet i Legg til en node -kortet skriver du inn et navn på klyngen du vil tilordne hybriddatasikkerhetsnoden til. Vi anbefaler at du navngir en klynge basert på hvor nodene i klyngen befinner seg geografisk. Eksempler: "San Francisco" eller "New York" eller "Dallas" |
| 6 |
I det andre feltet skriver du inn den interne IP-adressen eller det fullstendige domenenavnet (FQDN) til noden og klikker på Legg til nederst på skjermen. Denne IP-adressen eller FQDN skal samsvare med IP-adressen eller vertsnavnet og domenet du brukte i Konfigurere VM for hybriddatasikkerhet. Det vises en melding som angir at du kan registrere noden din til Webex.
|
| 7 |
Klikk på Gå til node. Etter et øyeblikk blir du omdirigert til nodetilkoblingstestene for Webex-tjenester. Hvis alle testene er vellykkede, vises siden Gi tilgang til hybrid datasikkerhetsnode. Der bekrefter du at du vil gi tillatelse til Webex-organisasjonen din for å få tilgang til noden din. |
| 8 |
Merk av i avkrysningsboksen Gi tilgang til din hybride datasikkerhetsnode , og klikk deretter på Fortsett. Kontoen din er validert, og meldingen «Registreringen er fullført» indikerer at noden din nå er registrert i Webex-skyen.
|
| 9 |
Klikk på koblingen eller lukk fanen for å gå tilbake til Partner Hub Hybrid Data Security-siden. På siden Hybriddatasikkerhet vises den nye klyngen som inneholder noden du registrerte, under Ressurser -fanen. Noden vil automatisk laste ned den nyeste programvaren fra skyen.
|
Opprett og registrer flere noder
Før du begynner
-
Når du begynner å registrere en node, må du fullføre den innen 60 minutter, eller du må starte på nytt.
-
Sørg for at eventuelle popup-blokkere i nettleseren er deaktivert, eller at du tillater et unntak for admin.webex.com.
| 1 |
Opprett en ny virtuell maskin fra OVA, og gjenta trinnene i Installer HDS Host OVA. |
| 2 |
Konfigurer den første konfigurasjonen på den nye VM-en, og gjenta trinnene i Konfigurer VM for hybriddatasikkerhet. |
| 3 |
På den nye VM gjentar du trinnene i Last opp og monter HDS-konfigurasjons-ISO. |
| 4 |
Hvis du konfigurerer en proxy for distribusjonen, gjentar du trinnene i Konfigurer HDS-noden for proxy-integrasjon etter behov for den nye noden. |
| 5 |
Registrer noden. |
Administrere leietakerorganisasjoner for hybriddatasikkerhet for flere leietakere
Aktivere HDS for flere leietakere på Partner Hub
Denne oppgaven sikrer at alle brukere av kundeorganisasjonene kan begynne å bruke HDS for lokale krypteringsnøkler og andre sikkerhetstjenester.
Før du begynner
Sørg for at du har fullført konfigureringen av HDS-klyngen for flere leietakere med det nødvendige antallet noder.
| 1 |
Logg på https://admin.webex.com. |
| 2 |
Velg Tjenester fra menyen til venstre på skjermen. |
| 3 |
I delen Skytjenester finner du hybriddatasikkerhet og klikker på Rediger innstillinger. |
| 4 |
Klikk på Aktiver HDS på kortet HDS-status . |
Legg til leietakerorganisasjoner i Partner Hub
I denne oppgaven tilordner du kundeorganisasjoner til din hybride datasikkerhetsklynge.
| 1 |
Logg på https://admin.webex.com. |
| 2 |
Velg Tjenester fra menyen til venstre på skjermen. |
| 3 |
Finn hybriddatasikkerhet under Skytjenester, og klikk på Vis alle. |
| 4 |
Klikk på klyngen du vil at en kunde skal tilordnes til. |
| 5 |
Gå til fanen Tilordnede kunder . |
| 6 |
Klikk på Legg til kunder. |
| 7 |
Velg kunden du vil legge til, fra rullegardinmenyen. |
| 8 |
Klikk på Legg til, kunden blir lagt til i klyngen. |
| 9 |
Gjenta trinn 6 til 8 for å legge til flere kunder i klyngen. |
| 10 |
Klikk på Ferdig nederst på skjermen når du har lagt til kundene. |
Hva du skal gjøre nå
Opprett kundens hovednøkler (CMK-er) ved hjelp av HDS-installasjonsverktøyet
Før du begynner
Tilordne kunder til riktig klynge som beskrevet i Legg til leietakerorganisasjoner i Partner Hub. Kjør HDS-installasjonsverktøyet for å fullføre installasjonsprosessen for de nylig tillagte kundeorganisasjonene.
-
HDS-installasjonsverktøyet kjører som en Docker-beholder på en lokal maskin. Kjør Docker på maskinen for å få tilgang til den. Installasjonsprosessen krever legitimasjon for en Partner Hub-konto med fulle administratorrettigheter for organisasjonen din.
Hvis HDS-installasjonsverktøyet kjører bak en proxy i miljøet ditt, må du oppgi proxy-innstillingene (server, port, legitimasjon) gjennom Docker-miljøvariablene når du tar opp Docker-beholderen i trinn 5. Denne tabellen viser noen mulige miljøvariabler:
Beskrivelse
Variabel
HTTP-proxy uten autentisering
GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORTHTTPS-proxy uten autentisering
GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORTHTTP-proxy med autentisering
GLOBAL_AGENT_HTTP_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORTHTTPS-proxy med autentisering
GLOBAL_AGENT_HTTPS_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT -
ISO-konfigurasjonsfilen du genererer, inneholder hovednøkkelen som krypterer PostgreSQL- eller Microsoft SQL Server-databasen. Du trenger den nyeste kopien av denne filen hver gang du gjør konfigurasjonsendringer, for eksempel disse:
-
Databaselegitimasjon
-
Sertifikatoppdateringer
-
Endringer i godkjenningspolicyen
-
-
Hvis du planlegger å kryptere databasetilkoblinger, konfigurerer du distribusjonen av PostgreSQL eller SQL Server for TLS.
Installasjonsprosessen for hybriddatasikkerhet oppretter en ISO-fil. Deretter bruker du ISO til å konfigurere verten for hybriddatasikkerhet.
| 1 |
På maskinens kommandolinje angir du riktig kommando for miljøet: I vanlige miljøer: I FedRAMP-miljøer: Dette trinnet rydder opp tidligere HDS-installasjonsverktøy bilder. Hvis det ikke finnes noen tidligere bilder, returnerer det en feil som du kan ignorere. |
| 2 |
Skriv inn følgende for å logge på Docker-bilderegisteret: |
| 3 |
Skriv inn denne hashen når du blir bedt om passord: |
| 4 |
Last ned det nyeste stabile bildet for miljøet ditt: I vanlige miljøer: I FedRAMP-miljøer: |
| 5 |
Når trekket er fullført, skriver du inn riktig kommando for ditt miljø:
Når containeren kjører, ser du "Express server lytter på port 8080." |
| 6 |
Installasjonsverktøyet støtter ikke tilkobling til localhost via http://localhost:8080. Bruk http://127.0.0.1:8080 for å koble til localhost. Bruk en nettleser til å gå til localhost, Verktøyet bruker denne første oppføringen av brukernavnet til å angi riktig miljø for kontoen. Verktøyet viser deretter standard påloggingsmelding. |
| 7 |
Når du blir bedt om det, skriver du inn påloggingslegitimasjonen for Partner Hub-administrator, og klikker deretter på Logg på for å gi tilgang til de nødvendige tjenestene for hybriddatasikkerhet. |
| 8 |
Klikk på Kom i gang på oversiktssiden for oppsettsverktøyet. |
| 9 |
Klikk på Ja på siden ISO-import. |
| 10 |
Velg ISO-filen i nettleseren og last den opp. Sørg for tilkobling til databasen din for å utføre CMK-administrasjon. |
| 11 |
Gå til fanen Leietakers CMK-administrasjon , der du finner følgende tre måter å administrere leietakers CMK-er på.
|
| 12 |
Når CMK opprettes, endres statusen i tabellen fra CMK-administrasjon venter til CMK-administrert. |
| 13 |
Hvis opprettelsen av CMK mislykkes, vises en feilmelding. |
Fjern leietakerorganisasjoner
Før du begynner
Når de er fjernet, vil ikke brukere av kundeorganisasjoner kunne utnytte HDS for sine krypteringsbehov og vil miste alle eksisterende områder. Før du fjerner kundeorganisasjoner, må du kontakte din Cisco-partner eller kontoadministrator.
| 1 |
Logg på https://admin.webex.com. |
| 2 |
Velg Tjenester fra menyen til venstre på skjermen. |
| 3 |
Finn hybriddatasikkerhet under Skytjenester, og klikk på Vis alle. |
| 4 |
I fanen Ressurser klikker du på klyngen du vil fjerne kundeorganisasjoner fra. |
| 5 |
Klikk på Tilordnede kunder på siden som åpnes. |
| 6 |
Fra listen over kundeorganisasjoner som vises, klikker du på til høyre for kundeorganisasjonen du vil fjerne, og klikker på Fjern fra klynge. |
Hva du skal gjøre nå
Fullfør fjerningsprosessen ved å tilbakekalle kundeorganisasjonens CMK-er, som beskrevet i Tilbakekall CMK-er for leiere som er fjernet fra HDS.
Tilbakekall CMK-er for leiere som er fjernet fra HDS.
Før du begynner
Fjern kunder fra den aktuelle klyngen som beskrevet i Fjern leietakerorganisasjoner. Kjør HDS-installasjonsverktøyet for å fullføre fjerningsprosessen for kundeorganisasjonene som ble fjernet.
-
HDS-installasjonsverktøyet kjører som en Docker-beholder på en lokal maskin. Kjør Docker på maskinen for å få tilgang til den. Installasjonsprosessen krever legitimasjon for en Partner Hub-konto med fulle administratorrettigheter for organisasjonen din.
Hvis HDS-installasjonsverktøyet kjører bak en proxy i miljøet ditt, må du oppgi proxy-innstillingene (server, port, legitimasjon) gjennom Docker-miljøvariablene når du tar opp Docker-beholderen i trinn 5. Denne tabellen viser noen mulige miljøvariabler:
Beskrivelse
Variabel
HTTP-proxy uten autentisering
GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORTHTTPS-proxy uten autentisering
GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORTHTTP-proxy med autentisering
GLOBAL_AGENT_HTTP_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORTHTTPS-proxy med autentisering
GLOBAL_AGENT_HTTPS_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT -
ISO-konfigurasjonsfilen du genererer, inneholder hovednøkkelen som krypterer PostgreSQL- eller Microsoft SQL Server-databasen. Du trenger den nyeste kopien av denne filen hver gang du gjør konfigurasjonsendringer, for eksempel disse:
-
Databaselegitimasjon
-
Sertifikatoppdateringer
-
Endringer i godkjenningspolicyen
-
-
Hvis du planlegger å kryptere databasetilkoblinger, konfigurerer du distribusjonen av PostgreSQL eller SQL Server for TLS.
Installasjonsprosessen for hybriddatasikkerhet oppretter en ISO-fil. Deretter bruker du ISO til å konfigurere verten for hybriddatasikkerhet.
| 1 |
På maskinens kommandolinje angir du riktig kommando for miljøet: I vanlige miljøer: I FedRAMP-miljøer: Dette trinnet rydder opp tidligere HDS-installasjonsverktøy bilder. Hvis det ikke finnes noen tidligere bilder, returnerer det en feil som du kan ignorere. |
| 2 |
Skriv inn følgende for å logge på Docker-bilderegisteret: |
| 3 |
Skriv inn denne hashen når du blir bedt om passord: |
| 4 |
Last ned det nyeste stabile bildet for miljøet ditt: I vanlige miljøer: I FedRAMP-miljøer: |
| 5 |
Når trekket er fullført, skriver du inn riktig kommando for ditt miljø:
Når containeren kjører, ser du "Express server lytter på port 8080." |
| 6 |
Installasjonsverktøyet støtter ikke tilkobling til localhost via http://localhost:8080. Bruk http://127.0.0.1:8080 for å koble til localhost. Bruk en nettleser til å gå til localhost, Verktøyet bruker denne første oppføringen av brukernavnet til å angi riktig miljø for kontoen. Verktøyet viser deretter standard påloggingsmelding. |
| 7 |
Når du blir bedt om det, skriver du inn påloggingslegitimasjonen for Partner Hub-administrator, og klikker deretter på Logg på for å gi tilgang til de nødvendige tjenestene for hybriddatasikkerhet. |
| 8 |
Klikk på Kom i gang på oversiktssiden for oppsettsverktøyet. |
| 9 |
Klikk på Ja på siden ISO-import. |
| 10 |
Velg ISO-filen i nettleseren og last den opp. |
| 11 |
Gå til fanen Leietakers CMK-administrasjon , der du finner følgende tre måter å administrere leietakers CMK-er på.
|
| 12 |
Når CMK-opphevelse er fullført, vises ikke kundeorganisasjonen lenger i tabellen. |
| 13 |
Hvis CMK-tilbakekalling mislykkes, vises en feil. |
Test distribusjonen av hybrid datasikkerhet
Test distribusjonen av hybrid datasikkerhet
Før du begynner
-
Konfigurer distribusjonen av hybriddatasikkerhet for flere leietakere.
-
Sørg for at du har tilgang til syslog for å bekrefte at viktige forespørsler sendes til din distribusjon av hybriddatasikkerhet for flere leietakere.
| 1 |
Nøkler for et gitt område angis av skaperen av området. Logg på Webex-appen som en av brukerne av kundeorganisasjonen, og opprett deretter et område. Hvis du deaktiverer distribusjonen av hybriddatasikkerhet, er ikke innhold i områder som brukere oppretter, lenger tilgjengelig når de klientbufrede kopiene av krypteringsnøklene er erstattet. |
| 2 |
Send meldinger til det nye området. |
| 3 |
Kontroller syslog-utdataene for å bekrefte at nøkkelforespørslene sendes til distribusjonen av hybriddatasikkerhet. |
Overvåk sikkerhets helse for hybriddata
| 1 |
I Partner Hub velger du Tjenester fra menyen til venstre på skjermen. |
| 2 |
I delen Skytjenester finner du hybriddatasikkerhet og klikker på Rediger innstillinger. Siden Innstillinger for hybriddatasikkerhet vises.
|
| 3 |
Skriv inn én eller flere e-postadresser atskilt med komma i delen E-postvarsler, og trykk på Enter. |
Administrer HDS-distribusjonen din
Administrer HDS-distribusjon
Bruk oppgavene som er beskrevet her for å administrere distribusjonen av hybriddatasikkerhet.
Angi tidsplan for klyngeoppgradering
Slik angir du oppgraderingsplanen:
| 1 |
Logg på Partner Hub. |
| 2 |
Velg Tjenester fra menyen til venstre på skjermen. |
| 3 |
I delen Skytjenester finner du hybriddatasikkerhet og klikker på Konfigurer |
| 4 |
Velg klyngen på siden Hybrid Data Security Resources. |
| 5 |
Klikk på fanen Klyngeinnstillinger . |
| 6 |
Velg klokkeslett og tidssone for oppgraderingsplanen på siden Klyngeinnstillinger under Oppgraderingsplan. Merk: Under tidssonen vises neste tilgjengelige oppgraderingsdato og -klokkeslett. Du kan utsette oppgraderingen til neste dag ved å klikke på Utsett med 24 timer. |
Endre nodekonfigurasjonen
-
Endring av x.509-sertifikater på grunn av utløp eller andre årsaker.
Vi støtter ikke endring av CN-domenenavnet for et sertifikat. Domenet må samsvare med det opprinnelige domenet som ble brukt til å registrere klyngen.
-
Oppdaterer databaseinnstillinger for å endre til en kopi av PostgreSQL- eller Microsoft SQL Server-databasen.
Vi støtter ikke overføring av data fra PostgreSQL til Microsoft SQL Server, eller motsatt måte. Start en ny distribusjon av hybriddatasikkerhet for å bytte databasemiljøet.
-
Opprette en ny konfigurasjon for å klargjøre et nytt datasenter.
Av sikkerhetshensyn bruker Hybrid Data Security også passord for tjenestekontoer som har en levetid på ni måneder. Når HDS-installasjonsverktøyet har generert disse passordene, distribuerer du dem til hver av HDS-nodene i ISO-konfigurasjonsfilen. Når organisasjonens passord nærmer seg utløpsdato, mottar du et varsel fra Webex-teamet om å tilbakestille passordet for maskinkontoen din. (E-posten inneholder teksten "Bruk maskinkontoens API til å oppdatere passordet.") Hvis passordene dine ikke er utløpt ennå, gir verktøyet deg to alternativer:
-
Myk tilbakestilling– De gamle og de nye passordene fungerer begge i opptil 10 dager. Bruk denne perioden til å erstatte ISO-filen på nodene gradvis.
-
Hard tilbakestilling – De gamle passordene slutter å fungere umiddelbart.
Hvis passordene utløper uten tilbakestilling, påvirker det HDS-tjenesten din, noe som krever en umiddelbar hard tilbakestilling og erstatning av ISO-filen på alle noder.
Bruk denne fremgangsmåten til å generere en ny ISO-konfigurasjonsfil og bruke den på klyngen.
Før du begynner
-
HDS-installasjonsverktøyet kjører som en Docker-beholder på en lokal maskin. Kjør Docker på maskinen for å få tilgang til den. Installasjonsprosessen krever legitimasjon for en Partner Hub-konto med fullstendige partneradministratorrettigheter.
Hvis HDS-installasjonsverktøyet kjører bak en proxy i miljøet ditt, må du oppgi proxy-innstillingene (server, port, legitimasjon) gjennom Docker-miljøvariablene når du tar opp Docker-beholderen i 1.e. Denne tabellen viser noen mulige miljøvariabler:
Beskrivelse
Variabel
HTTP-proxy uten autentisering
GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORTHTTPS-proxy uten autentisering
GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORTHTTP-proxy med autentisering
GLOBAL_AGENT_HTTP_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORTHTTPS-proxy med autentisering
GLOBAL_AGENT_HTTPS_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT -
Du trenger en kopi av den gjeldende ISO-konfigurasjonsfilen for å generere en ny konfigurasjon. ISO inneholder hovednøkkelen som krypterer PostgreSQL- eller Microsoft SQL Server-databasen. Du trenger ISO når du gjør konfigurasjonsendringer, inkludert databaselegitimasjon, sertifikatoppdateringer eller endringer i godkjenningspolicyen.
| 1 |
Kjør HDS-installasjonsverktøyet ved hjelp av Docker på en lokal maskin. |
| 2 |
Hvis du bare kjører én HDS-node, oppretter du en ny hybrid datasikkerhetsnode VM og registrerer den ved hjelp av den nye ISO-konfigurasjonsfilen. Hvis du vil ha mer detaljerte instruksjoner, kan du se Opprette og registrere flere noder. |
| 3 |
Montere ISO-filen for eksisterende HDS-noder som kjører den eldre konfigurasjonsfilen. Utfør følgende prosedyre på hver node igjen, og oppdater hver node før du slår av neste node: |
| 4 |
Gjenta trinn 3 for å erstatte konfigurasjonen på hver gjenværende node som kjører den gamle konfigurasjonen. |
Slå av blokkert ekstern DNS-oppløsningsmodus
Når du registrerer en node eller sjekker nodens proxy-konfigurasjon, tester prosessen DNS-oppslag og tilkobling til Cisco Webex-skyen. Hvis nodens DNS-server ikke kan løse offentlige DNS-navn, går noden automatisk inn i modus for blokkert ekstern DNS-oppløsning.
Hvis nodene dine kan løse offentlige DNS-navn gjennom interne DNS-servere, kan du slå av denne modusen ved å kjøre proxy-tilkoblingstesten på nytt på hver node.
Før du begynner
| 1 |
Åpne nodegrensesnittet for hybriddatasikkerhet i en nettleser (IP-adresse/oppsett, for eksempel https://192.0.2.0/setup), angi administratorlegitimasjonen du har konfigurert for noden, og klikk deretter på Logg på. |
| 2 |
Gå til Oversikt (standardsiden). Når den er aktivert, settes Blokkert ekstern DNS-oppløsning til Ja. |
| 3 |
Gå til siden Klareringslager og proxy . |
| 4 |
Klikk på Kontroller proxy-tilkobling. Hvis du ser en melding om at den eksterne DNS-oppløsningen ikke var vellykket, kunne ikke noden nå DNS-serveren og vil forbli i denne modusen. Hvis ikke, etter at du har startet noden på nytt og gått tilbake til Oversikt -siden, skal Blokkert ekstern DNS-oppløsning settes til Nei. |
Hva du skal gjøre nå
Fjerne en node
| 1 |
Bruk VMware vSphere-klienten på datamaskinen til å logge på den virtuelle ESXi-verten og slå av den virtuelle maskinen. |
| 2 |
Fjern noden: |
| 3 |
Slett VM-en i vSphere-klienten. (Høyreklikk på VM i venstre navigasjonsrute, og klikk på Slett.) Hvis du ikke sletter VM-en, må du huske å avmontere ISO-konfigurasjonsfilen. Uten ISO-filen kan du ikke bruke VM til å få tilgang til sikkerhetsdataene dine. |
Katastrofegjenoppretting ved hjelp av standbydatasenter
Den mest kritiske tjenesten som din hybride datasikkerhetsklynge tilbyr, er oppretting og lagring av nøkler som brukes til å kryptere meldinger og annet innhold som er lagret i Webex-skyen. For hver bruker i organisasjonen som er tilordnet hybriddatasikkerhet, rutes nye forespørsler om nøkkeloppretting til klyngen. Klyngen er også ansvarlig for å returnere nøklene den er opprettet til brukere som er autorisert til å hente dem, for eksempel medlemmer av et samtaleområde.
Fordi klyngen utfører den kritiske funksjonen med å levere disse nøklene, er det viktig at klyngen forblir i drift og at riktige sikkerhetskopier opprettholdes. Tap av hybriddatasikkerhetsdatabasen eller konfigurasjons-ISO som brukes for skjemaet, vil føre til UGJENOPPRETTELIG TAP av kundeinnhold. Følgende fremgangsmåter er obligatoriske for å forhindre et slikt tap:
Hvis en katastrofe fører til at HDS-distribusjonen i det primære datasenteret blir utilgjengelig, følger du denne fremgangsmåten for å manuelt failover til standbydatasenteret.
Før du begynner
| 1 |
Start HDS-installasjonsverktøyet og følg trinnene som er nevnt i Opprett en konfigurasjons-ISO for HDS-verter. |
| 2 |
Fullfør konfigurasjonsprosessen og lagre ISO-filen på et sted som er lett å finne. |
| 3 |
Ta en sikkerhetskopi av ISO-filen på ditt lokale system. Behold sikkerhetskopien sikker. Denne filen inneholder en hovedkrypteringsnøkkel for databaseinnholdet. Begrens tilgangen til bare de hybriddatasikkerhetsadministratorene som skal foreta konfigurasjonsendringer. |
| 4 |
Høyreklikk på VM i venstre navigasjonsrute til VMware vSphere-klienten, og klikk på Rediger innstillinger. |
| 5 |
Klikk på Rediger innstillinger >CD/DVD-stasjon 1 og velg ISO-fil for datalager. Kontroller at Tilkoblet og Koble til ved påslått er merket av slik at oppdaterte konfigurasjonsendringer kan tre i kraft etter at nodene er startet. |
| 6 |
Slå på HDS-noden og sørg for at det ikke er noen alarmer i minst 15 minutter. |
| 7 |
Registrer noden i Partner Hub. Se Registrer den første noden i klyngen. |
| 8 |
Gjenta prosessen for hver node i standbydatasenteret. |
Hva du skal gjøre nå
(Valgfritt) Fjern ISO etter HDS-konfigurasjon
Standard HDS-konfigurasjon kjøres med ISO-montert. Men noen kunder foretrekker ikke å forlate ISO-filer kontinuerlig montert. Du kan avmontere ISO-filen etter at alle HDS-nodene har tatt opp den nye konfigurasjonen.
Du bruker fortsatt ISO-filene til å foreta konfigurasjonsendringer. Når du oppretter en ny ISO eller oppdaterer en ISO gjennom installasjonsverktøyet, må du montere den oppdaterte ISO-en på alle HDS-nodene dine. Når alle nodene har plukket opp konfigurasjonsendringene, kan du avmontere ISO-en igjen med denne fremgangsmåten.
Før du begynner
Oppgrader alle HDS-nodene dine til versjon 2021.01.22.4720 eller nyere.
| 1 |
Slå av en av HDS-nodene dine. |
| 2 |
Velg HDS-noden i vCenter Server Appliance. |
| 3 |
Velg og fjern merket for ISO-fil for datalager. |
| 4 |
Slå på HDS-noden og sørg for at det ikke er noen alarmer i minst 20 minutter. |
| 5 |
Gjenta for hver HDS-node i sin tur. |
Feilsøke hybrid datasikkerhet
Vis varsler og feilsøking
En distribusjon av hybriddatasikkerhet anses som utilgjengelig hvis alle nodene i klyngen ikke er tilgjengelige, eller klyngen fungerer så sakte at forespørslene blir tidsavbrutt. Hvis brukere ikke kan nå din hybride datasikkerhetsklynge, opplever de følgende symptomer:
-
Nye områder kan ikke opprettes (kan ikke opprette nye nøkler)
-
Meldinger og områdetitler kan ikke dekrypteres for:
-
Nye brukere lagt til i et område (kan ikke hente nøkler)
-
Eksisterende brukere i et område som bruker en ny klient (kan ikke hente nøkler)
-
-
Eksisterende brukere i et område vil fortsette å kjøre vellykket så lenge klientene deres har en hurtigbuffer med krypteringsnøklene
Det er viktig at du overvåker den hybride datasikkerhetsklyngen riktig og adresserer eventuelle varsler umiddelbart for å unngå tjenesteavbrudd.
Varsler
Hvis det er et problem med oppsettet av hybriddatasikkerhet, viser Partner Hub varsler til organisasjonens administrator og sender e-post til den konfigurerte e-postadressen. Varslene dekker mange vanlige scenarier.
|
Varsel |
Handling |
|---|---|
|
Feil ved tilgang til lokal database. |
Se etter databasefeil eller lokale nettverksproblemer. |
|
Feil ved lokal databasetilkobling. |
Kontroller at databaseserveren er tilgjengelig, og at riktig tjenestekontolegitimasjon ble brukt i nodekonfigurasjonen. |
|
Feil ved tilgang til skytjeneste. |
Kontroller at nodene har tilgang til Webex-serverne som angitt i Krav til ekstern tilkobling. |
|
Fornye registrering av skytjeneste. |
Registrering til skytjenester ble avbrutt. Fornyelse av registrering pågår. |
|
Registrering av skytjeneste avbrutt. |
Registrering til skytjenester avsluttet. Tjenesten er stengt. |
|
Tjenesten er ikke aktivert ennå. |
Aktiver HDS i Partner Hub. |
|
Konfigurert domene samsvarer ikke med serversertifikatet. |
Kontroller at serversertifikatet samsvarer med det konfigurerte tjenesteaktiveringsdomenet. Den mest sannsynlige årsaken er at sertifikatets CN nylig ble endret og nå er forskjellig fra CN som ble brukt under den første installasjonen. |
|
Kunne ikke autentisere seg til skytjenester. |
Sjekk for nøyaktighet og mulig utløp av legitimasjon for tjenestekontoen. |
|
Kunne ikke åpne lokal nøkkelbutikkfil. |
Kontroller integritet og passordnøyaktighet på den lokale nøkkelbutikkfilen. |
|
Det lokale serversertifikatet er ugyldig. |
Kontroller serversertifikatets utløpsdato og bekreft at det ble utstedt av en klarert sertifiseringsinstans. |
|
Kan ikke legge ut måledata. |
Kontroller lokal nettverkstilgang til eksterne skytjenester. |
|
/media/configdrive/hds-katalog finnes ikke. |
Kontroller konfigurasjonen av ISO-monteringen på virtuell vert. Kontroller at ISO-filen finnes, at den er konfigurert til å monteres ved omstart, og at den monteres. |
|
Oppsett av leietakerorganisasjon er ikke fullført for de tilførte organisasjonene |
Fullfør oppsettet ved å opprette CMK-er for nylig tillagte leietakerorganisasjoner ved hjelp av HDS-installasjonsverktøyet. |
|
Oppsett av leietakerorganisasjon er ikke fullført for fjernede organisasjoner |
Fullfør oppsettet ved å tilbakekalle CMK-er for leietakerorganisasjoner som ble fjernet ved hjelp av HDS-installasjonsverktøyet. |
Feilsøke hybrid datasikkerhet
| 1 |
Se gjennom Partner Hub for eventuelle varsler og fikse eventuelle elementer du finner der. Se bildet nedenfor for referanse. |
| 2 |
Se gjennom syslog-serverens utdata for aktivitet fra distribusjonen av hybriddatasikkerhet. Filtrer etter ord som "Advarsel" og "Feil" for å hjelpe til med feilsøking. |
| 3 |
Kontakt Ciscos kundestøtte. |
Andre merknader
Kjente problemer for hybrid datasikkerhet
-
Hvis du avslutter klyngen for hybriddatasikkerhet (ved å slette den i Partner Hub eller ved å avslutte alle noder), mister konfigurasjons-ISO-filen eller mister tilgangen til nøkkelbutikkdatabasen, kan ikke Webex-appbrukere i kundeorganisasjoner lenger bruke områder under Personer-listen sin som ble opprettet med nøkler fra KMS. Vi har for øyeblikket ingen løsning eller løsning på dette problemet, og vi oppfordrer deg til ikke å avslutte HDS-tjenestene når de håndterer aktive brukerkontoer.
-
En klient som har en eksisterende ECDH-tilkobling til en KMS opprettholder denne tilkoblingen i en tidsperiode (sannsynligvis én time).
Bruk OpenSSL til å generere en PKCS12-fil
Før du begynner
-
OpenSSL er et verktøy som kan brukes til å lage PKCS12-filen i riktig format for lasting i HDS-installasjonsverktøyet. Det finnes andre måter å gjøre dette på, og vi støtter ikke eller fremmer en måte fremfor en annen.
-
Hvis du velger å bruke OpenSSL, tilbyr vi denne prosedyren som en veiledning for å hjelpe deg med å opprette en fil som oppfyller X.509-sertifikatkravene i X.509-sertifikatkrav. Forstå disse kravene før du fortsetter.
-
Installer OpenSSL i et støttet miljø. Se https://www.openssl.org for programvare og dokumentasjon.
-
Opprett en privat nøkkel.
-
Start denne prosedyren når du mottar serversertifikatet fra Certificate Authority (CA).
| 1 |
Når du mottar serversertifikatet fra din CA, lagrer du det som |
| 2 |
Vis sertifikatet som tekst og bekreft detaljene.
|
| 3 |
Bruk et tekstredigeringsprogram til å opprette en sertifikatbuntfil kalt
|
| 4 |
Opprett .p12-filen med det vennlige navnet
|
| 5 |
Kontroller serversertifikatdetaljene. |
Hva du skal gjøre nå
Gå tilbake til Fullfør forutsetningene for hybrid datasikkerhet. Du bruker hdsnode.p12 -filen og passordet du har angitt for den, i Opprett en konfigurasjons-ISO for HDS-verter.
Du kan bruke disse filene på nytt for å be om et nytt sertifikat når det opprinnelige sertifikatet utløper.
Trafikk mellom HDS-nodene og skyen
Utgående metrikkinnsamlingstrafikk
Nodene for hybriddatasikkerhet sender visse målinger til Webex-skyen. Disse inkluderer systemmålinger for maks. heap, heap brukt, CPU-belastning og antall tråder, målinger på synkrone og asynkrone tråder, målinger på varsler som involverer en terskel for krypteringstilkoblinger, ventetid eller lengde på en forespørselskø, målinger på datalageret og krypteringstilkoblingsmålinger. Nodene sender kryptert nøkkelmateriale over en kanal utenfor båndet (atskilt fra forespørselen).
Innkommende trafikk
Nodene for hybriddatasikkerhet mottar følgende typer innkommende trafikk fra Webex-skyen:
-
Krypteringsforespørsler fra klienter som rutes av krypteringstjenesten
-
Oppgraderinger til nodeprogramvaren
Konfigurere Squid-proxyer for hybriddatasikkerhet
Websocket kan ikke koble til via Squid-proxy
Squid-proxyer som inspiserer HTTPS-trafikk kan forstyrre etableringen av websocket-tilkoblinger (wss:) som hybriddatasikkerhet krever. Disse delene gir veiledning om hvordan du konfigurerer forskjellige versjoner av Squid til å ignorere wss: trafikk for riktig drift av tjenestene.
Squid 4 og 5
Legg til on_unsupported_protocol direktivet i squid.conf:
on_unsupported_protocol tunnel alleSquid 3.5.27
Vi testet hybriddatasikkerhet med følgende regler lagt til i squid.conf. Disse reglene kan endres etter hvert som vi utvikler funksjoner og oppdaterer Webex-skyen.
acl wssMercuryConnection ssl::server_name_regex mercury-tilkobling ssl_bump splice wssMercuryConnection acl step1 at_step SslBump1 acl step2 at_step SslBump2 acl step3 at_step SslBump3 ssl_bump titte step1 alle ssl_bump stirre step2 alle ssl_bump bump step3 alleNy og endret informasjon
Ny og endret informasjon
Denne tabellen dekker nye funksjoner eller funksjonalitet, endringer i eksisterende innhold og eventuelle store feil som ble løst i distribusjonsveiledningen for hybriddatasikkerhet for flere leietakere.
|
Dato |
Endringer gjort |
|---|---|
|
08. januar 2025 |
La til en merknad i Utfør innledende konfigurering og nedlasting av installasjonsfiler som sier at det er et viktig trinn i installasjonsprosessen å klikke på Konfigurer på HDS-kortet i Partner Hub. |
|
07. januar 2025 |
Oppdaterte krav til virtuell vert, oppgaveflyt for distribusjon av hybrid datasikkerhet og Installer HDS Host OVA for å vise nye krav til ESXi 7.0. |
|
13. desember 2024 |
Først publisert. |
Deaktivere hybriddatasikkerhet for flere leietakere
Oppgaveflyt for deaktivering av HDS for flere leietakere
Følg disse trinnene for å deaktivere HDS for flere leietakere fullstendig.
Før du begynner
| 1 |
Fjern alle kunder fra alle klyngene dine, som nevnt i Fjern leietakerorganisasjoner. |
| 2 |
Tilbakekall CMK-er for alle kunder, som nevnt i Tilbakekall CMK-er for leiere som er fjernet fra HDS.. |
| 3 |
Fjern alle noder fra alle klyngene dine, som nevnt i Fjern en node. |
| 4 |
Slett alle klyngene dine fra Partner Hub ved hjelp av én av følgende to metoder.
|
| 5 |
Klikk på fanen Innstillinger på oversiktssiden for hybriddatasikkerhet, og klikk på Deaktiver HDS på HDS-statuskortet. |
Kom i gang med hybriddatasikkerhet for flere leietakere
Oversikt over hybriddatasikkerhet for flere leietakere
Fra dag én har datasikkerhet vært hovedfokuset i utformingen av Webex-appen. Hjørnesteinen i denne sikkerheten er innholdskryptering fra ende-til-ende, aktivert av Webex-appklienter som samhandler med Key Management Service (KMS). KMS er ansvarlig for å opprette og administrere kryptografiske nøkler som klienter bruker til dynamisk kryptering og dekryptering av meldinger og filer.
Som standard får alle Webex-appkunder ende-til-ende-kryptering med dynamiske nøkler lagret i skyen KMS, i Ciscos sikkerhetsområde. Hybrid Data Security flytter KMS og andre sikkerhetsrelaterte funksjoner til bedriftens datasenter, så ingen andre enn deg har nøklene til ditt krypterte innhold.
Hybriddatasikkerhet med flere leietakere gjør det mulig for organisasjoner å utnytte HDS gjennom en klarert lokal partner, som kan fungere som tjenesteleverandør og administrere lokal kryptering og andre sikkerhetstjenester. Dette oppsettet gjør det mulig for partnerorganisasjonen å ha full kontroll over distribusjon og administrasjon av krypteringsnøkler og sikrer at brukerdata fra kundeorganisasjoner er trygge mot ekstern tilgang. Partnerorganisasjoner setter opp HDS-forekomster og oppretter HDS-klynger etter behov. Hver forekomst kan støtte flere kundeorganisasjoner i motsetning til en vanlig HDS-distribusjon som er begrenset til én enkelt organisasjon.
Dette gjør det også mulig for mindre organisasjoner å utnytte HDS, siden tjeneste for nøkkeladministrasjon og sikkerhetsinfrastruktur som datasentre eies av den klarerte lokale partneren.
Hvordan hybriddatasikkerhet for flere leietakere gir datasuverenitet og datakontroll
- Brukergenerert innhold er beskyttet mot ekstern tilgang, for eksempel skytjenesteleverandører.
- Lokale klarerte partnere administrerer krypteringsnøklene til kunder de allerede har etablert relasjoner med.
- Alternativ for lokal teknisk støtte, hvis den leveres av partneren.
- Støtter innhold i møter, meldinger og anrop.
Dette dokumentet er ment å hjelpe partnerorganisasjoner med å konfigurere og administrere kunder under et hybriddatasikkerhetssystem for flere leietakere.
Roller i hybriddatasikkerhet for flere leietakere
- Fullstendig partneradministrator – Kan administrere innstillinger for alle kunder som partneren administrerer. Kan også tilordne administratorroller til eksisterende brukere i organisasjonen og tilordne bestemte kunder som skal administreres av partneradministratorer.
- Partneradministrator – Kan administrere innstillinger for kunder som administratoren har klargjort, eller som er tilordnet brukeren.
- Fullverdig administrator – Administrator for partnerorganisasjonen som er autorisert til å utføre oppgaver som å endre organisasjonsinnstillinger, administrere lisenser og tilordne roller.
- Oppsett og administrasjon av HDS med flere leietakere fra ende til ende for alle kundeorganisasjoner – fullstendig partneradministrator og fullstendige administratorrettigheter kreves.
- Administrasjon av tilordnede leietakerorganisasjoner – Partneradministrator og fullstendige administratorrettigheter kreves.
Sikkerhetsområde arkitektur
Webex-skyarkitekturen skiller forskjellige typer tjenester inn i separate områder, eller klareringsdomener, som vist nedenfor.
For å forstå hybrid datasikkerhet ytterligere, la oss først se på dette rene skytilfellet, der Cisco leverer alle funksjonene i sine skyområder. Identitetstjenesten, det eneste stedet der brukere kan være direkte korrelert med sine personopplysninger, for eksempel e-postadresse, er logisk og fysisk adskilt fra sikkerhetsområdet i datasenter B. Begge er i sin tur adskilt fra området der kryptert innhold lagres, i datasenter C.
I dette diagrammet er klienten Webex-appen som kjører på en brukers bærbare datamaskin, og er godkjent med identitetstjenesten. Når brukeren skriver en melding som skal sendes til et område, utføres følgende trinn:
-
Klienten oppretter en sikker tilkobling til nøkkeladministrasjonstjenesten (KMS), og ber deretter om en nøkkel for å kryptere meldingen. Den sikre tilkoblingen bruker ECDH, og KMS krypterer nøkkelen ved hjelp av en hovednøkkel AES-256.
-
Meldingen krypteres før den forlater klienten. Klienten sender det til indekseringstjenesten, som oppretter krypterte søkeindekser for å hjelpe i fremtidige søk etter innholdet.
-
Den krypterte meldingen sendes til samsvarstjenesten for kontroll av samsvar.
-
Den krypterte meldingen lagres i lagringsområdet.
Når du distribuerer hybrid datasikkerhet, flytter du sikkerhetsområdefunksjonene (KMS, indeksering og samsvar) til det lokale datasenteret. De andre skytjenestene som utgjør Webex (inkludert identitets- og innholdslagring) forblir i Ciscos områder.
Samarbeide med andre organisasjoner
Brukere i organisasjonen kan regelmessig bruke Webex-appen til å samarbeide med eksterne deltakere i andre organisasjoner. Når en av brukerne ber om en nøkkel for et område som eies av organisasjonen din (fordi det ble opprettet av en av brukerne), sender KMS nøkkelen til klienten via en ECDH-sikret kanal. Når en annen organisasjon eier nøkkelen for området, sender KMS imidlertid forespørselen ut til Webex-skyen via en egen ECDH-kanal for å hente nøkkelen fra den aktuelle KMS, og returnerer deretter nøkkelen til brukeren din på den opprinnelige kanalen.
KMS-tjenesten som kjører på Org A, validerer tilkoblingene til KMS i andre organisasjoner ved hjelp av x.509 PKI-sertifikater. Se Forbered miljøet hvis du vil ha mer informasjon om hvordan du genererer et x.509-sertifikat som skal brukes med distribusjonen av hybriddatasikkerhet for flere leietakere.
Forventninger til distribusjon av hybrid datasikkerhet
En distribusjon av hybrid datasikkerhet krever betydelig forpliktelse og bevissthet om risikoene som følger med å eie krypteringsnøkler.
For å distribuere hybrid datasikkerhet må du oppgi:
-
Et sikkert datasenter i et land som er et støttet sted for Cisco Webex Teams-planene.
-
Utstyret, programvaren og nettverkstilgangen som er beskrevet i Forbered miljøet.
Fullstendig tap av enten konfigurasjons-ISO-en du bygger for hybriddatasikkerhet eller databasen du leverer, vil føre til tap av nøklene. Nøkkeltap hindrer brukere i å dekryptere områdeinnhold og andre krypterte data i Webex-appen. Hvis dette skjer, kan du bygge en ny distribusjon, men bare nytt innhold vil være synlig. For å unngå tap av tilgang til data må du:
-
Administrer sikkerhetskopiering og gjenoppretting av databasen og konfigurasjons-ISO.
-
Vær forberedt på å utføre rask katastrofegjenoppretting hvis en katastrofe oppstår, for eksempel databasediskfeil eller datasenterkatastrofe.
Det finnes ingen mekanisme for å flytte nøkler tilbake til skyen etter en HDS-distribusjon.
Oppsettsprosess på høyt nivå
Dette dokumentet dekker oppsettet og administrasjonen av en distribusjon av hybriddatasikkerhet for flere leietakere:
-
Konfigurere hybrid datasikkerhet – Dette inkluderer klargjøring av nødvendig infrastruktur og installering av hybrid datasikkerhetsprogramvare, bygging av en HDS-klynge, tillegging av leierorganisasjoner i klyngen og administrasjon av kundens hovednøkler (CMK-er). Dette vil gjøre det mulig for alle brukere i kundeorganisasjonene dine å bruke den hybride datasikkerhetsklyngen til sikkerhetsfunksjoner.
Installasjons-, aktiverings- og administrasjonsfasene er beskrevet i detalj i de neste tre kapitlene.
-
Oppretthold distribusjonen av hybrid datasikkerhet – Webex-skyen gir automatisk pågående oppgraderinger. IT-avdelingen din kan gi støtte på nivå én for denne distribusjonen, og engasjere Cisco-støtte etter behov. Du kan bruke varsler på skjermen og konfigurere e-postbaserte varsler i Partner Hub.
-
Forstå vanlige varsler, feilsøkingstrinn og kjente problemer– Hvis du har problemer med å distribuere eller bruke hybriddatasikkerhet, kan det siste kapitlet i denne veiledningen og vedlegget Kjente problemer hjelpe deg med å finne og løse problemet.
Distribusjonsmodell for hybrid datasikkerhet
I bedriftens datasenter distribuerer du hybrid datasikkerhet som én klynge med noder på separate virtuelle verter. Nodene kommuniserer med Webex-skyen via sikre websockets og sikre HTTP.
Under installasjonsprosessen gir vi deg OVA-filen for å konfigurere det virtuelle apparatet på VM-ene du leverer. Du bruker HDS-installasjonsverktøyet til å opprette en egendefinert ISO-fil for klyngekonfigurasjon som du monterer på hver node. Den hybride datasikkerhetsklyngen bruker den oppgitte Syslogd-serveren og PostgreSQL- eller Microsoft SQL Server-databasen. (Du konfigurerer Syslogd- og databasetilkoblingsdetaljene i HDS-installasjonsverktøyet.)
Minimum antall noder du kan ha i en klynge, er to. Vi anbefaler minst tre per klynge. Å ha flere noder sikrer at tjenesten ikke avbrytes under en programvareoppgradering eller annen vedlikeholdsaktivitet på en node. (Webex-skyen oppgraderer bare én node om gangen.)
Alle noder i en klynge får tilgang til samme nøkkeldatalager og loggaktivitet til samme syslog-server. Nodene selv er statsløse, og håndterer nøkkelforespørsler på rund-robin-modus, som styres av skyen.
Noder blir aktive når du registrerer dem i Partner Hub. Hvis du vil ta en individuell node ut av drift, kan du avregistrere den og senere registrere den på nytt om nødvendig.
Standby Data Center for katastrofegjenoppretting
Under distribusjonen setter du opp et sikkert standbydatasenter. I tilfelle en datasenterkatastrofe, kan du manuelt mislykkes distribusjonen til standbydatasenteret.
Databasene til de aktive datasentrene og standbydatasentrene er synkronisert med hverandre, noe som vil minimere tiden det tar å utføre failover.
De aktive nodene for hybriddatasikkerhet må alltid være i samme datasenter som den aktive databaseserveren.
Proxy-støtte
Hybrid Data Security støtter eksplisitte, gjennomsiktige inspeksjons- og ikke-inspeksjons-proxyer. Du kan knytte disse proxyene til distribusjonen slik at du kan sikre og overvåke trafikk fra bedriften og ut til skyen. Du kan bruke et plattformadministratorgrensesnitt på nodene for sertifikatadministrasjon og for å kontrollere den generelle tilkoblingsstatusen etter at du har konfigurert proxyen på nodene.
Nodene for hybriddatasikkerhet støtter følgende proxy-alternativer:
-
Ingen proxy – Standard hvis du ikke bruker HDS-nodeoppsettet Trust Store & Proxy-konfigurasjonen til å integrere en proxy. Ingen sertifikatoppdatering er nødvendig.
-
Gjennomsiktig ikke-inspeksjons-proxy– Nodene er ikke konfigurert til å bruke en bestemt proxy-serveradresse og bør ikke kreve endringer for å fungere med en ikke-inspeksjons-proxy. Ingen sertifikatoppdatering er nødvendig.
-
Gjennomsiktig tunnelering eller inspeksjons-proxy– Nodene er ikke konfigurert til å bruke en bestemt proxy-serveradresse. Ingen endringer i HTTP- eller HTTPS-konfigurasjonen er nødvendig på nodene. Nodene trenger imidlertid et rotsertifikat slik at de stoler på proxyen. Inspeksjons-proxyer brukes vanligvis av IT til å håndheve retningslinjer for hvilke nettsteder som kan besøkes og hvilke typer innhold som ikke er tillatt. Denne typen proxy dekrypterer all trafikken din (til og med HTTPS).
-
Eksplisitt proxy – Med eksplisitt proxy forteller du HDS-nodene hvilken proxy-server og godkjenningsskjema som skal brukes. Hvis du vil konfigurere en eksplisitt proxy, må du angi følgende informasjon på hver node:
-
Proxy-IP/FQDN – Adresse som kan brukes til å nå proxy-maskinen.
-
Proxy-port – Et portnummer som proxyen bruker til å lytte etter proxy-trafikk.
-
Proxy-protokoll – Avhengig av hva proxy-serveren støtter, velger du mellom følgende protokoller:
-
HTTP – viser og kontrollerer alle forespørsler som klienten sender.
-
HTTPS – Gir en kanal til serveren. Klienten mottar og validerer serverens sertifikat.
-
-
Godkjenningstype– velg blant følgende godkjenningstyper:
-
Ingen – Ingen ytterligere godkjenning er nødvendig.
Tilgjengelig hvis du velger enten HTTP eller HTTPS som proxy-protokoll.
-
Grunnleggende – Brukes for en HTTP-brukeragent til å oppgi brukernavn og passord når du foretar en forespørsel. Bruker Base64-koding.
Tilgjengelig hvis du velger enten HTTP eller HTTPS som proxy-protokoll.
Krever at du skriver inn brukernavn og passord for hver node.
-
Sammendrag – Brukes til å bekrefte kontoen før sensitiv informasjon sendes. Bruker en hash-funksjon på brukernavnet og passordet før det sendes over nettverket.
Bare tilgjengelig hvis du velger HTTPS som proxy-protokoll.
Krever at du skriver inn brukernavn og passord for hver node.
-
-
Eksempel på noder og proxy for hybriddatasikkerhet
Dette diagrammet viser en eksempelkobling mellom hybriddatasikkerhet, nettverk og en proxy. For gjennomsiktig inspeksjon og eksplisitt HTTPS-inspeksjons-proxy-alternativer, må det samme rotsertifikatet være installert på proxyen og på nodene for hybriddatasikkerhet.
Blokkert ekstern DNS-oppløsningsmodus (eksplisitte proxy-konfigurasjoner)
Når du registrerer en node eller sjekker nodens proxy-konfigurasjon, tester prosessen DNS-oppslag og tilkobling til Cisco Webex-skyen. I distribusjoner med eksplisitte proxy-konfigurasjoner som ikke tillater ekstern DNS-oppløsning for interne klienter, går den automatisk inn i blokkert ekstern DNS-oppløsning-modus hvis noden ikke kan spørre DNS-serverne. I denne modusen kan noderegistrering og andre proxy-tilkoblingstester fortsette.
Forbered miljøet ditt
Krav til hybriddatasikkerhet for flere leietakere
Krav til Cisco Webex-lisens
Slik distribuerer du hybriddatasikkerhet for flere leietakere:
-
Partnerorganisasjoner: Kontakt din Cisco-partner eller kontoadministrator og sørg for at funksjonen for flere leietakere er aktivert.
-
Leietakerorganisasjoner: Du må ha Pro Pack for Cisco Webex Control Hub. (Se https://www.cisco.com/go/pro-pack.)
Krav til Docker-skrivebord
Før du installerer HDS-nodene, trenger du Docker Desktop for å kjøre et installasjonsprogram. Docker oppdaterte nylig sin lisensieringsmodell. Organisasjonen din kan kreve et betalt abonnement på Docker Desktop. Hvis du vil ha mer informasjon, kan du se innlegget til Docker-bloggen, «Docker oppdaterer og utvider våre produktabonnementer».
X.509-sertifikatkrav
Sertifikatkjeden må oppfylle følgende krav:
|
Krav |
Detaljer |
|---|---|
|
Som standard stoler vi på sertifiseringsinstansene i Mozilla-listen (med unntak av WoSign og StartCom) på https://wiki.mozilla.org/CA:IncludedCAs. |
|
CN trenger ikke å være tilgjengelig eller en direkte vert. Vi anbefaler at du bruker et navn som gjenspeiler organisasjonen din, for eksempel CN kan ikke inneholde et * (jokertegn). CN brukes til å bekrefte nodene for hybriddatasikkerhet til Webex-appklienter. Alle nodene for hybriddatasikkerhet i klyngen bruker det samme sertifikatet. KMS identifiserer seg selv ved hjelp av CN-domenet, ikke et domene som er definert i x.509v3 SAN-feltene. Når du har registrert en node med dette sertifikatet, støtter vi ikke endring av CN-domenenavnet. |
|
KMS-programvaren støtter ikke SHA1-signaturer for validering av tilkoblinger til andre organisasjons KMS-er. |
|
Du kan bruke en konverter som OpenSSL til å endre sertifikatets format. Du må angi passordet når du kjører HDS-installasjonsverktøyet. |
KMS-programvaren håndhever ikke nøkkelbruk eller utvidede begrensninger for nøkkelbruk. Noen sertifikatmyndigheter krever at utvidede nøkkelbruksbegrensninger brukes på hvert sertifikat, for eksempel servergodkjenning. Det er greit å bruke servergodkjenningen eller andre innstillinger.
Krav til virtuell vert
De virtuelle vertene som du vil konfigurere som Hybrid Data Security-noder i klyngen har følgende krav:
-
Minst to separate verter (3 anbefales) plassert i samme sikre datasenter
-
VMware ESXi 7.0 (eller nyere) installert og kjører.
Du må oppgradere hvis du har en tidligere versjon av ESXi.
-
Minimum 4 vCPU-er, 8 GB hovedminne, 30 GB lokalt harddiskplass per server
Krav til databaseserver
Opprett en ny database for nøkkellagring. Ikke bruk standarddatabasen. HDS-programmene oppretter databaseskjemaet når de er installert.
Det finnes to alternativer for databaseserver. Kravene til hver av dem er som følger:
|
PostgreSql |
Microsoft SQL Server |
|---|---|
|
|
|
Minimum 8 vCPU-er, 16 GB hovedminne, tilstrekkelig harddiskplass og overvåking for å sikre at det ikke overskrides (2 TB anbefales hvis du vil kjøre databasen i lang tid uten å måtte øke lagringsplassen) |
Minimum 8 vCPU-er, 16 GB hovedminne, tilstrekkelig harddiskplass og overvåking for å sikre at det ikke overskrides (2 TB anbefales hvis du vil kjøre databasen i lang tid uten å måtte øke lagringsplassen) |
HDS-programvaren installerer for øyeblikket følgende driverversjoner for kommunikasjon med databaseserveren:
|
PostgreSql |
Microsoft SQL Server |
|---|---|
|
Postgres JDBC driver 42.2.5 |
SQL Server JDBC driver 4.6 Denne driverversjonen støtter SQL Server Always On (Always On Failover Cluster Instances og Always On Availability Groups). |
Ytterligere krav for Windows-godkjenning mot Microsoft SQL Server
Hvis du vil at HDS-noder skal bruke Windows-godkjenning for å få tilgang til Keystore-databasen på Microsoft SQL Server, trenger du følgende konfigurasjon i miljøet ditt:
-
HDS-nodene, Active Directory-infrastrukturen og MS SQL Server må alle synkroniseres med NTP.
-
Windows-kontoen du oppgir til HDS-noder, må ha lese-/skrivetilgang til databasen.
-
DNS-serverne du leverer til HDS-noder, må kunne løse nøkkeldistribusjonssenteret (KDC).
-
Du kan registrere HDS-databaseforekomsten på Microsoft SQL Server som et tjenestehovednavn (SPN) i Active Directory. Se Registrer tjenestens hovednavn for Kerberos-tilkoblinger.
HDS-installasjonsverktøyet, HDS-oppstartsprogrammet og lokal KMS må bruke Windows-godkjenning for å få tilgang til nøkkelbutikkdatabasen. De bruker detaljene fra ISO-konfigurasjonen til å konstruere SPN-en når de ber om tilgang med Kerberos-godkjenning.
Krav til ekstern tilkobling
Konfigurer brannmuren slik at den tillater følgende tilkobling for HDS-programmene:
|
Applikasjon |
Protokoll |
Port |
Retning fra appen |
Destinasjon |
|---|---|---|---|---|
|
Noder for hybriddatasikkerhet |
tcp |
443 |
Utgående HTTPS og WSS |
|
|
HDS-oppsettsverktøy |
tcp |
443 |
Utgående HTTPS |
|
Nodene for hybriddatasikkerhet fungerer med oversettelse av nettverkstilgang (NAT) eller bak en brannmur, så lenge NAT eller brannmuren tillater de nødvendige utgående tilkoblingene til domenet-målene i tabellen ovenfor. Ingen porter skal være synlige fra Internett for tilkoblinger som går inn til nodene for hybriddatasikkerhet. I datasenteret trenger klienter tilgang til nodene for hybriddatasikkerhet på TCP-portene 443 og 22 av administrative grunner.
URL-adressene for Common Identity (CI)-vertene er områdespesifikke. Dette er de gjeldende CI-vertene:
|
Region |
URL-adresser for Common Identity Host |
|---|---|
|
Nord-Amerika |
|
|
Den europeiske union |
|
|
Canada |
|
| Singapore |
|
| De forente arabiske emirater |
|
Krav til proxy-server
-
Vi støtter offisielt følgende proxy-løsninger som kan integreres med nodene for hybriddatasikkerhet.
-
Gjennomsiktig proxy – Cisco Web Security Appliance (WSA).
-
Eksplisitt proxy – Squid.
Squid-proxyer som inspiserer HTTPS-trafikk kan forstyrre opprettelsen av websocket-tilkoblinger (wss:). Hvis du vil omgå dette problemet, kan du se Konfigurere Squid-proxyer for hybriddatasikkerhet.
-
-
Vi støtter følgende kombinasjoner av godkjenningstyper for eksplisitte proxyer:
-
Ingen godkjenning med HTTP eller HTTPS
-
Grunnleggende godkjenning med HTTP eller HTTPS
-
Digest-godkjenning kun med HTTPS
-
-
For en gjennomsiktig inspeksjons-proxy eller en eksplisitt HTTPS-proxy, må du ha en kopi av proxyens rotsertifikat. Distribusjonsinstruksjonene i denne veiledningen forteller deg hvordan du laster opp kopien til klareringslagrene for hybriddatasikkerhetsnodene.
-
Nettverket som er vert for HDS-nodene, må konfigureres til å tvinge utgående TCP-trafikk på port 443 til å rute gjennom proxyen.
-
Proxyer som inspiserer webtrafikk kan forstyrre Web Socket-tilkoblinger. Hvis dette problemet oppstår, vil det å omgå (ikke inspisere) trafikk til
wbx2.com, ogciscospark.comvil løse problemet.
Fullfør forutsetningene for hybrid datasikkerhet
| 1 |
Sørg for at partnerorganisasjonen din har HDS-funksjonen for flere leietakere aktivert og få legitimasjonen til en konto med fullstendig partneradministrator og fullstendige administratorrettigheter. Påse at Webex-kundeorganisasjonen er aktivert for Pro Pack for Cisco Webex Control Hub. Kontakt din Cisco-partner eller kontoadministrator for å få hjelp med denne prosessen. Kundeorganisasjoner skal ikke ha noen eksisterende HDS-distribusjon. |
| 2 |
Velg et domenenavn for HDS-distribusjonen (for eksempel |
| 3 |
Klargjør identiske virtuelle verter som du vil konfigurere som Hybrid Data Security-noder i klyngen. Du trenger minst to separate verter (3 anbefales) plassert i samme sikre datasenter, som oppfyller kravene i Krav til virtuelle verter. |
| 4 |
Klargjør databaseserveren som skal fungere som nøkkeldatalager for klyngen, i henhold til Databaseserverkrav. Databaseserveren må være plassert i det sikre datasenteret med de virtuelle vertene. |
| 5 |
For rask katastrofegjenoppretting konfigurerer du et sikkerhetskopieringsmiljø i et annet datasenter. Sikkerhetskopieringsmiljøet gjenspeiler produksjonsmiljøet til VM-er og en sikkerhetskopidatabaseserver. Hvis for eksempel produksjonen har 3 VM-er som kjører HDS-noder, skal sikkerhetskopieringsmiljøet ha 3 VM-er. |
| 6 |
Sett opp en syslog-vert for å samle inn logger fra nodene i klyngen. Samle nettverksadressen og syslog-porten (standard er UDP 514). |
| 7 |
Opprett en sikker sikkerhetskopieringspolicy for nodene for hybriddatasikkerhet, databaseserveren og syslog-verten. For å forhindre ugjenopprettelig tap av data må du som minimum sikkerhetskopiere databasen og konfigurasjonsfilen som genereres for nodene for hybriddatasikkerhet. Fordi nodene for hybriddatasikkerhet lagrer nøklene som brukes til kryptering og dekryptering av innhold, vil manglende vedlikehold av en operativ distribusjon føre til UGJENOPPRETTELIG TAP av dette innholdet. Webex-appklienter bufrer nøklene sine, så det kan hende at et driftsbrudd ikke er umiddelbart merkbart, men vil bli tydelig over tid. Selv om midlertidige avbrudd er umulig å forhindre, kan de gjenopprettes. Fullstendig tap (ingen sikkerhetskopieringer tilgjengelig) av enten databasen eller konfigurasjons-ISO-filen vil imidlertid føre til ugjenopprettbare kundedata. Operatørene av nodene for hybriddatasikkerhet forventes å opprettholde hyppige sikkerhetskopieringer av databasen og konfigurasjonsfilen, og være forberedt på å gjenoppbygge datasenteret for hybriddatasikkerhet hvis det oppstår en katastrofal feil. |
| 8 |
Kontroller at brannmurkonfigurasjonen tillater tilkobling for hybriddatasikkerhetsnodene som beskrevet i Krav til ekstern tilkobling. |
| 9 |
Installer Docker ( https://www.docker.com) på en hvilken som helst lokal maskin som kjører et støttet operativsystem (Microsoft Windows 10 Professional eller Enterprise 64-biters, eller Mac OSX Yosemite 10.10.3 eller nyere) med en nettleser som har tilgang til det på http://127.0.0.1:8080. Du bruker Docker-forekomsten til å laste ned og kjøre HDS-installasjonsverktøyet, som bygger den lokale konfigurasjonsinformasjonen for alle nodene for hybriddatasikkerhet. Du trenger kanskje en Docker Desktop-lisens. Se Krav til Docker Desktop for mer informasjon. For å installere og kjøre HDS-installasjonsverktøyet må den lokale maskinen ha tilkoblingen beskrevet i Krav til ekstern tilkobling. |
| 10 |
Hvis du integrerer en proxy med hybriddatasikkerhet, må du sørge for at den oppfyller kravene til proxy-serveren. |
Konfigurere en klynge for hybriddatasikkerhet
Oppgaveflyt for distribusjon av hybrid datasikkerhet
| 1 |
Utfør første konfigurasjon og last ned installasjonsfiler Last ned OVA-filen til din lokale maskin for senere bruk. |
| 2 |
Opprette en konfigurasjons-ISO for HDS-verter Bruk HDS-installasjonsverktøyet til å opprette en ISO-konfigurasjonsfil for nodene for hybriddatasikkerhet. |
| 3 |
Opprett en virtuell maskin fra OVA-filen og utfør første konfigurasjon, for eksempel nettverksinnstillinger. Alternativet for å konfigurere nettverksinnstillinger under OVA-distribusjon er testet med ESXi 7.0. Alternativet er kanskje ikke tilgjengelig i tidligere versjoner. |
| 4 |
Konfigurere VM for hybriddatasikkerhet Logg på VM-konsollen og angi påloggingslegitimasjonen. Konfigurer nettverksinnstillingene for noden hvis du ikke konfigurerte dem da OVA ble distribuert. |
| 5 |
Laste opp og montere konfigurasjons-ISO for HDS Konfigurer VM fra ISO-konfigurasjonsfilen du opprettet med HDS-installasjonsverktøyet. |
| 6 |
Konfigurere HDS-noden for proxy-integrering Hvis nettverksmiljøet krever proxy-konfigurasjon, angir du hvilken type proxy du vil bruke for noden, og legger til proxy-sertifikatet i klareringslageret om nødvendig. |
| 7 |
Registrer den første noden i klyngen Registrer VM med Cisco Webex-skyen som en hybrid datasikkerhetsnode. |
| 8 |
Opprett og registrer flere noder Fullfør klyngeoppsettet. |
| 9 |
Aktiver HDS for flere leietakere på Partner Hub. Aktiver HDS og administrer leierorganisasjoner på Partner Hub. |
Utfør første konfigurasjon og last ned installasjonsfiler
I denne oppgaven laster du ned en OVA-fil til maskinen din (ikke til serverne du konfigurerer som Hybrid Data Security-noder). Du bruker denne filen senere i installasjonsprosessen.
| 1 |
Logg på Partner Hub, og klikk deretter på Tjenester. |
| 2 |
Finn kortet for hybriddatasikkerhet under Skytjenester, og klikk deretter på Konfigurer. Å klikke på Konfigurer i Partner Hub er avgjørende for distribusjonsprosessen. Ikke fortsett med installasjonen uten å fullføre dette trinnet. |
| 3 |
Klikk på Legg til en ressurs , og klikk på Last ned .OVA-fil på kortet Installer og konfigurer programvare . Eldre versjoner av programvarepakken (OVA) vil ikke være kompatible med de nyeste oppgraderingene for hybriddatasikkerhet. Dette kan føre til problemer under oppgradering av programmet. Sørg for at du laster ned den nyeste versjonen av OVA-filen. Du kan også laste ned OVA når som helst fra Hjelp -delen. Klikk på . OVA-filen begynner automatisk å lastes ned. Lagre filen på en plassering på maskinen.
|
| 4 |
Du kan eventuelt klikke på Se distribusjonsveiledning for hybriddatasikkerhet for å sjekke om det finnes en senere versjon av denne veiledningen. |
Opprette en konfigurasjons-ISO for HDS-verter
Installasjonsprosessen for hybriddatasikkerhet oppretter en ISO-fil. Deretter bruker du ISO til å konfigurere verten for hybriddatasikkerhet.
Før du begynner
-
HDS-installasjonsverktøyet kjører som en Docker-beholder på en lokal maskin. Kjør Docker på maskinen for å få tilgang til den. Installasjonsprosessen krever legitimasjonen til en Partner Hub-konto med fulle administratorrettigheter.
Hvis HDS-installasjonsverktøyet kjører bak en proxy i miljøet ditt, må du oppgi proxy-innstillingene (server, port, legitimasjon) gjennom Docker-miljøvariablene når du tar opp Docker-beholderen i trinn 5 nedenfor. Denne tabellen viser noen mulige miljøvariabler:
Beskrivelse
Variabel
HTTP-proxy uten autentisering
GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORTHTTPS-proxy uten autentisering
GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORTHTTP-proxy med autentisering
GLOBAL_AGENT_HTTP_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORTHTTPS-proxy med autentisering
GLOBAL_AGENT_HTTPS_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT -
ISO-konfigurasjonsfilen du genererer, inneholder hovednøkkelen som krypterer PostgreSQL- eller Microsoft SQL Server-databasen. Du trenger den nyeste kopien av denne filen hver gang du gjør konfigurasjonsendringer, for eksempel disse:
-
Databaselegitimasjon
-
Sertifikatoppdateringer
-
Endringer i godkjenningspolicyen
-
-
Hvis du planlegger å kryptere databasetilkoblinger, konfigurerer du distribusjonen av PostgreSQL eller SQL Server for TLS.
| 1 |
På maskinens kommandolinje angir du riktig kommando for miljøet: I vanlige miljøer: I FedRAMP-miljøer: Dette trinnet rydder opp tidligere HDS-installasjonsverktøy bilder. Hvis det ikke finnes noen tidligere bilder, returnerer det en feil som du kan ignorere. | ||||||||||
| 2 |
Skriv inn følgende for å logge på Docker-bilderegisteret: | ||||||||||
| 3 |
Skriv inn denne hashen når du blir bedt om passord: | ||||||||||
| 4 |
Last ned det nyeste stabile bildet for miljøet ditt: I vanlige miljøer: I FedRAMP-miljøer: | ||||||||||
| 5 |
Når trekket er fullført, skriver du inn riktig kommando for ditt miljø:
Når containeren kjører, ser du "Express server lytter på port 8080." | ||||||||||
| 6 |
Installasjonsverktøyet støtter ikke tilkobling til localhost via http://localhost:8080. Bruk http://127.0.0.1:8080 for å koble til localhost. Bruk en nettleser til å gå til localhost, Verktøyet bruker denne første oppføringen av brukernavnet til å angi riktig miljø for kontoen. Verktøyet viser deretter standard påloggingsmelding. | ||||||||||
| 7 |
Når du blir bedt om det, skriver du inn påloggingslegitimasjonen for Partner Hub-administrator, og klikker deretter på Logg på for å gi tilgang til de nødvendige tjenestene for hybriddatasikkerhet. | ||||||||||
| 8 |
Klikk på Kom i gang på oversiktssiden for oppsettsverktøyet. | ||||||||||
| 9 |
På siden ISO-import har du disse alternativene:
| ||||||||||
| 10 |
Kontroller at X.509-sertifikatet oppfyller kravene i X.509-sertifikatkrav.
| ||||||||||
| 11 |
Skriv inn databaseadressen og kontoen for HDS for å få tilgang til nøkkeldatalageret: | ||||||||||
| 12 |
Velg en TLS-databasetilkoblingsmodus:
Når du laster opp rotsertifikatet (om nødvendig) og klikker på Fortsett, tester HDS-installasjonsverktøyet TLS-tilkoblingen til databaseserveren. Verktøyet bekrefter også sertifikatsigneringen og vertsnavnet, hvis aktuelt. Hvis en test mislykkes, viser verktøyet en feilmelding som beskriver problemet. Du kan velge om du vil ignorere feilen og fortsette med oppsettet. (På grunn av tilkoblingsforskjeller kan HDS-nodene være i stand til å etablere TLS-tilkoblingen selv om HDS-installasjonsverktøyet ikke kan teste den.) | ||||||||||
| 13 |
På siden Systemlogger konfigurerer du Syslogd-serveren: | ||||||||||
| 14 |
(Valgfritt) Du kan endre standardverdien for noen parametere for databasetilkobling i Avanserte innstillinger. Generelt er denne parameteren den eneste du kanskje vil endre: | ||||||||||
| 15 |
Klikk på Fortsett på skjermen Tilbakestill passord for tjenestekontoer . Passord for tjenestekontoen har en levetid på ni måneder. Bruk dette skjermbildet når passordene nærmer seg utløpsdatoen, eller du vil tilbakestille dem til å ugyldiggjøre tidligere ISO-filer. | ||||||||||
| 16 |
Klikk på Last ned ISO-fil. Lagre filen på et sted som er lett å finne. | ||||||||||
| 17 |
Ta en sikkerhetskopi av ISO-filen på ditt lokale system. Behold sikkerhetskopien sikker. Denne filen inneholder en hovedkrypteringsnøkkel for databaseinnholdet. Begrens tilgangen til bare de hybriddatasikkerhetsadministratorene som skal foreta konfigurasjonsendringer. | ||||||||||
| 18 |
Hvis du vil slå av installasjonsverktøyet, skriver du inn |
Hva du skal gjøre nå
Sikkerhetskopier ISO-konfigurasjonsfilen. Du trenger den for å opprette flere noder for gjenoppretting, eller for å gjøre konfigurasjonsendringer. Hvis du mister alle kopier av ISO-filen, har du også mistet hovednøkkelen. Det er ikke mulig å gjenopprette nøklene fra PostgreSQL- eller Microsoft SQL Server-databasen.
Vi har aldri en kopi av denne nøkkelen og kan ikke hjelpe hvis du mister den.
Installere HDS Host OVA
| 1 |
Bruk VMware vSphere-klienten på datamaskinen for å logge på den virtuelle ESXi-verten. |
| 2 |
Velg Fil > Distribuer OVF-mal. |
| 3 |
I veiviseren angir du plasseringen til OVA-filen du lastet ned tidligere, og klikker deretter på Neste. |
| 4 |
På siden Velg et navn og mappe skriver du inn et Virtuelt maskinnavn for noden (for eksempel «HDS_Node_1»), velger et sted der den virtuelle maskinnodedistribusjonen kan ligge, og klikker deretter på Neste. |
| 5 |
På siden Velg en beregningsressurs velger du destinasjonsberegningsressursen, og klikker deretter på Neste. En valideringskontroll kjører. Når den er ferdig, vises maldetaljene. |
| 6 |
Bekreft maldetaljene, og klikk deretter på Neste. |
| 7 |
Hvis du blir bedt om å velge ressurskonfigurasjonen på Konfigurasjon -siden, klikker du på 4 CPU og klikker deretter på Neste. |
| 8 |
På siden Velg lagring klikker du på Neste for å godta standard diskformat og retningslinjer for lagring av VM. |
| 9 |
På siden Velg nettverk velger du nettverksalternativet fra listen over oppføringer for å gi ønsket tilkobling til VM-en. |
| 10 |
Konfigurer følgende nettverksinnstillinger på siden Tilpass mal :
Hvis du vil, kan du hoppe over konfigurasjonen av nettverksinnstillingene og følge trinnene i Konfigurere VM for hybriddatasikkerhet for å konfigurere innstillingene fra nodekonsollen. Alternativet for å konfigurere nettverksinnstillinger under OVA-distribusjon er testet med ESXi 7.0. Alternativet er kanskje ikke tilgjengelig i tidligere versjoner. |
| 11 |
Høyreklikk på noden VM, og velg deretter . Programvaren for hybrid datasikkerhet installeres som gjest på VM-verten. Du er nå klar til å logge på konsollen og konfigurere noden. Feilsøkingstips Du kan oppleve en forsinkelse på noen minutter før nodebeholderne kommer opp. Det vises en brobrannmurmelding på konsollen under første oppstart, hvor du ikke kan logge på. |
Konfigurere VM for hybriddatasikkerhet
Bruk denne fremgangsmåten til å logge på VM-konsollen for hybriddatasikkerhetsnoden for første gang og angi påloggingslegitimasjonen. Du kan også bruke konsollen til å konfigurere nettverksinnstillingene for noden hvis du ikke konfigurerte dem da OVA ble distribuert.
| 1 |
I VMware vSphere-klienten velger du den hybride datasikkerhetsnoden VM og velger fanen Konsoll . VM starter opp og en melding om pålogging vises. Hvis meldingen om pålogging ikke vises, trykker du på Enter.
|
| 2 |
Bruk følgende standard pålogging og passord for å logge på og endre legitimasjonen: Siden du logger på VM for første gang, må du endre administratorpassordet. |
| 3 |
Hvis du allerede har konfigurert nettverksinnstillingene i Installer HDS Host OVA, hopper du over resten av denne prosedyren. Hvis ikke, velger du alternativet Rediger konfigurasjon i hovedmenyen. |
| 4 |
Konfigurer en statisk konfigurasjon med IP-adresse, maske, gateway og DNS-informasjon. Noden din skal ha en intern IP-adresse og et DNS-navn. DHCP støttes ikke. |
| 5 |
(Valgfritt) Endre vertsnavnet, domenet eller NTP-serveren(e) om nødvendig for å samsvare med nettverkspolicyen. Du trenger ikke å angi domenet til å samsvare med domenet du brukte til å skaffe X.509-sertifikatet. |
| 6 |
Lagre nettverkskonfigurasjonen og start VM på nytt slik at endringene trer i kraft. |
Laste opp og montere konfigurasjons-ISO for HDS
Før du begynner
Fordi ISO-filen innehar hovednøkkelen, bør den bare eksponeres på "trenger å vite"-basis, for tilgang for virtuelle maskiner for hybriddatasikkerhet og eventuelle administratorer som må gjøre endringer. Sørg for at bare disse administratorene har tilgang til datalageret.
| 1 |
Last opp ISO-filen fra datamaskinen: |
| 2 |
Montere ISO-fil: |
Hva du skal gjøre nå
Hvis IT-policyen krever det, kan du eventuelt avmontere ISO-filen etter at alle nodene har plukket opp konfigurasjonsendringene. Se (Valgfritt) Avmonter ISO etter HDS-konfigurasjon for detaljer.
Konfigurere HDS-noden for proxy-integrering
Hvis nettverksmiljøet krever en proxy, bruker du denne fremgangsmåten til å angi hvilken type proxy du vil integrere med hybrid datasikkerhet. Hvis du velger en gjennomsiktig inspeksjons-proxy eller en eksplisitt HTTPS-proxy, kan du bruke nodens grensesnitt til å laste opp og installere rotsertifikatet. Du kan også sjekke proxy-tilkoblingen fra grensesnittet, og feilsøke eventuelle problemer.
Før du begynner
-
Se Proxy-støtte for en oversikt over proxy-alternativene som støttes.
| 1 |
Skriv inn URL-adressen for HDS-nodeoppsett |
| 2 |
Gå til Klareringslager og proxy, og velg deretter et alternativ:
Følg de neste trinnene for en gjennomsiktig inspeksjons-proxy, en eksplisitt HTTP-proxy med grunnleggende godkjenning eller en eksplisitt HTTPS-proxy. |
| 3 |
Klikk på Last opp et rotsertifikat eller sluttenhetssertifikat, og gå deretter til å velge rotsertifikatet for proxyen. Sertifikatet er lastet opp, men er ennå ikke installert fordi du må starte noden på nytt for å installere sertifikatet. Klikk på chevron-pilen ved navnet på sertifikatutstederen for å få mer informasjon, eller klikk på Slett hvis du har gjort en feil og vil laste opp filen på nytt. |
| 4 |
Klikk på Kontroller proxy-tilkobling for å teste nettverkstilkoblingen mellom noden og proxyen. Hvis tilkoblingstesten mislykkes, får du en feilmelding som viser årsaken og hvordan du kan løse problemet. Hvis du ser en melding om at den eksterne DNS-oppløsningen ikke var vellykket, kunne ikke noden nå DNS-serveren. Denne tilstanden forventes i mange eksplisitte proxy-konfigurasjoner. Du kan fortsette med oppsettet, og noden vil fungere i modus for blokkert ekstern DNS-oppløsning. Hvis du tror dette er en feil, fullfører du disse trinnene og ser Slå av blokkert ekstern DNS-oppløsningsmodus. |
| 5 |
Etter at tilkoblingstesten er bestått, bare for eksplisitt proxy satt til https, slår du veksleknappen til Rute alle port 443/444 https-forespørsler fra denne noden gjennom den eksplisitte proxyen. Denne innstillingen tar 15 sekunder før den trer i kraft. |
| 6 |
Klikk på Installer alle sertifikater i klareringslageret (vises for en eksplisitt HTTPS-proxy eller en gjennomsiktig inspeksjons-proxy) eller Start på nytt (vises for en eksplisitt HTTP-proxy), les ledeteksten og klikk deretter på Installer hvis du er klar. Noden starter på nytt innen noen få minutter. |
| 7 |
Etter at noden har startet på nytt, logger du på igjen om nødvendig og åpner deretter Oversikt -siden for å sjekke tilkoblingskontrollene for å sikre at alle er i grønn status. Proxy-tilkoblingskontrollen tester bare et underdomene av webex.com. Hvis det er tilkoblingsproblemer, er et vanlig problem at noen av skydomenene som er oppført i installasjonsinstruksjonene, blokkeres ved proxyen. |
Registrer den første noden i klyngen
Når du registrerer din første node, oppretter du en klynge som noden er tilordnet til. En klynge inneholder én eller flere noder som er distribuert for å gi redundans.
Før du begynner
-
Når du begynner å registrere en node, må du fullføre den innen 60 minutter, eller du må starte på nytt.
-
Sørg for at eventuelle popup-blokkere i nettleseren er deaktivert, eller at du tillater et unntak for admin.webex.com.
| 1 |
Logg på https://admin.webex.com. |
| 2 |
Velg Tjenester fra menyen til venstre på skjermen. |
| 3 |
I delen Skytjenester finner du kortet for hybriddatasikkerhet og klikker på Konfigurer. |
| 4 |
Klikk på Legg til en ressurs på siden som åpnes. |
| 5 |
I det første feltet i Legg til en node -kortet skriver du inn et navn på klyngen du vil tilordne hybriddatasikkerhetsnoden til. Vi anbefaler at du navngir en klynge basert på hvor nodene i klyngen befinner seg geografisk. Eksempler: "San Francisco" eller "New York" eller "Dallas" |
| 6 |
I det andre feltet skriver du inn den interne IP-adressen eller det fullstendige domenenavnet (FQDN) til noden og klikker på Legg til nederst på skjermen. Denne IP-adressen eller FQDN skal samsvare med IP-adressen eller vertsnavnet og domenet du brukte i Konfigurere VM for hybriddatasikkerhet. Det vises en melding som angir at du kan registrere noden din til Webex.
|
| 7 |
Klikk på Gå til node. Etter et øyeblikk blir du omdirigert til nodetilkoblingstestene for Webex-tjenester. Hvis alle testene er vellykkede, vises siden Gi tilgang til hybrid datasikkerhetsnode. Der bekrefter du at du vil gi tillatelse til Webex-organisasjonen din for å få tilgang til noden din. |
| 8 |
Merk av i avkrysningsboksen Gi tilgang til din hybride datasikkerhetsnode , og klikk deretter på Fortsett. Kontoen din er validert, og meldingen «Registreringen er fullført» indikerer at noden din nå er registrert i Webex-skyen.
|
| 9 |
Klikk på koblingen eller lukk fanen for å gå tilbake til Partner Hub Hybrid Data Security-siden. På siden Hybriddatasikkerhet vises den nye klyngen som inneholder noden du registrerte, under Ressurser -fanen. Noden vil automatisk laste ned den nyeste programvaren fra skyen.
|
Opprett og registrer flere noder
Før du begynner
-
Når du begynner å registrere en node, må du fullføre den innen 60 minutter, eller du må starte på nytt.
-
Sørg for at eventuelle popup-blokkere i nettleseren er deaktivert, eller at du tillater et unntak for admin.webex.com.
| 1 |
Opprett en ny virtuell maskin fra OVA, og gjenta trinnene i Installer HDS Host OVA. |
| 2 |
Konfigurer den første konfigurasjonen på den nye VM-en, og gjenta trinnene i Konfigurer VM for hybriddatasikkerhet. |
| 3 |
På den nye VM gjentar du trinnene i Last opp og monter HDS-konfigurasjons-ISO. |
| 4 |
Hvis du konfigurerer en proxy for distribusjonen, gjentar du trinnene i Konfigurer HDS-noden for proxy-integrasjon etter behov for den nye noden. |
| 5 |
Registrer noden. |
Administrere leietakerorganisasjoner for hybriddatasikkerhet for flere leietakere
Aktivere HDS for flere leietakere på Partner Hub
Denne oppgaven sikrer at alle brukere av kundeorganisasjonene kan begynne å bruke HDS for lokale krypteringsnøkler og andre sikkerhetstjenester.
Før du begynner
Sørg for at du har fullført konfigureringen av HDS-klyngen for flere leietakere med det nødvendige antallet noder.
| 1 |
Logg på https://admin.webex.com. |
| 2 |
Velg Tjenester fra menyen til venstre på skjermen. |
| 3 |
I delen Skytjenester finner du hybriddatasikkerhet og klikker på Rediger innstillinger. |
| 4 |
Klikk på Aktiver HDS på kortet HDS-status . |
Legg til leietakerorganisasjoner i Partner Hub
I denne oppgaven tilordner du kundeorganisasjoner til din hybride datasikkerhetsklynge.
| 1 |
Logg på https://admin.webex.com. |
| 2 |
Velg Tjenester fra menyen til venstre på skjermen. |
| 3 |
Finn hybriddatasikkerhet under Skytjenester, og klikk på Vis alle. |
| 4 |
Klikk på klyngen du vil at en kunde skal tilordnes til. |
| 5 |
Gå til fanen Tilordnede kunder . |
| 6 |
Klikk på Legg til kunder. |
| 7 |
Velg kunden du vil legge til, fra rullegardinmenyen. |
| 8 |
Klikk på Legg til, kunden blir lagt til i klyngen. |
| 9 |
Gjenta trinn 6 til 8 for å legge til flere kunder i klyngen. |
| 10 |
Klikk på Ferdig nederst på skjermen når du har lagt til kundene. |
Hva du skal gjøre nå
Opprett kundens hovednøkler (CMK-er) ved hjelp av HDS-installasjonsverktøyet
Før du begynner
Tilordne kunder til riktig klynge som beskrevet i Legg til leietakerorganisasjoner i Partner Hub. Kjør HDS-installasjonsverktøyet for å fullføre installasjonsprosessen for de nylig tillagte kundeorganisasjonene.
-
HDS-installasjonsverktøyet kjører som en Docker-beholder på en lokal maskin. Kjør Docker på maskinen for å få tilgang til den. Installasjonsprosessen krever legitimasjon for en Partner Hub-konto med fulle administratorrettigheter for organisasjonen din.
Hvis HDS-installasjonsverktøyet kjører bak en proxy i miljøet ditt, må du oppgi proxy-innstillingene (server, port, legitimasjon) gjennom Docker-miljøvariablene når du tar opp Docker-beholderen i trinn 5. Denne tabellen viser noen mulige miljøvariabler:
Beskrivelse
Variabel
HTTP-proxy uten autentisering
GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORTHTTPS-proxy uten autentisering
GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORTHTTP-proxy med autentisering
GLOBAL_AGENT_HTTP_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORTHTTPS-proxy med autentisering
GLOBAL_AGENT_HTTPS_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT -
ISO-konfigurasjonsfilen du genererer, inneholder hovednøkkelen som krypterer PostgreSQL- eller Microsoft SQL Server-databasen. Du trenger den nyeste kopien av denne filen hver gang du gjør konfigurasjonsendringer, for eksempel disse:
-
Databaselegitimasjon
-
Sertifikatoppdateringer
-
Endringer i godkjenningspolicyen
-
-
Hvis du planlegger å kryptere databasetilkoblinger, konfigurerer du distribusjonen av PostgreSQL eller SQL Server for TLS.
Installasjonsprosessen for hybriddatasikkerhet oppretter en ISO-fil. Deretter bruker du ISO til å konfigurere verten for hybriddatasikkerhet.
| 1 |
På maskinens kommandolinje angir du riktig kommando for miljøet: I vanlige miljøer: I FedRAMP-miljøer: Dette trinnet rydder opp tidligere HDS-installasjonsverktøy bilder. Hvis det ikke finnes noen tidligere bilder, returnerer det en feil som du kan ignorere. |
| 2 |
Skriv inn følgende for å logge på Docker-bilderegisteret: |
| 3 |
Skriv inn denne hashen når du blir bedt om passord: |
| 4 |
Last ned det nyeste stabile bildet for miljøet ditt: I vanlige miljøer: I FedRAMP-miljøer: |
| 5 |
Når trekket er fullført, skriver du inn riktig kommando for ditt miljø:
Når containeren kjører, ser du "Express server lytter på port 8080." |
| 6 |
Installasjonsverktøyet støtter ikke tilkobling til localhost via http://localhost:8080. Bruk http://127.0.0.1:8080 for å koble til localhost. Bruk en nettleser til å gå til localhost, Verktøyet bruker denne første oppføringen av brukernavnet til å angi riktig miljø for kontoen. Verktøyet viser deretter standard påloggingsmelding. |
| 7 |
Når du blir bedt om det, skriver du inn påloggingslegitimasjonen for Partner Hub-administrator, og klikker deretter på Logg på for å gi tilgang til de nødvendige tjenestene for hybriddatasikkerhet. |
| 8 |
Klikk på Kom i gang på oversiktssiden for oppsettsverktøyet. |
| 9 |
Klikk på Ja på siden ISO-import. |
| 10 |
Velg ISO-filen i nettleseren og last den opp. Sørg for tilkobling til databasen din for å utføre CMK-administrasjon. |
| 11 |
Gå til fanen Leietakers CMK-administrasjon , der du finner følgende tre måter å administrere leietakers CMK-er på.
|
| 12 |
Når CMK opprettes, endres statusen i tabellen fra CMK-administrasjon venter til CMK-administrert. |
| 13 |
Hvis opprettelsen av CMK mislykkes, vises en feilmelding. |
Fjern leietakerorganisasjoner
Før du begynner
Når de er fjernet, vil ikke brukere av kundeorganisasjoner kunne utnytte HDS for sine krypteringsbehov og vil miste alle eksisterende områder. Før du fjerner kundeorganisasjoner, må du kontakte din Cisco-partner eller kontoadministrator.
| 1 |
Logg på https://admin.webex.com. |
| 2 |
Velg Tjenester fra menyen til venstre på skjermen. |
| 3 |
Finn hybriddatasikkerhet under Skytjenester, og klikk på Vis alle. |
| 4 |
I fanen Ressurser klikker du på klyngen du vil fjerne kundeorganisasjoner fra. |
| 5 |
Klikk på Tilordnede kunder på siden som åpnes. |
| 6 |
Fra listen over kundeorganisasjoner som vises, klikker du på til høyre for kundeorganisasjonen du vil fjerne, og klikker på Fjern fra klynge. |
Hva du skal gjøre nå
Fullfør fjerningsprosessen ved å tilbakekalle kundeorganisasjonens CMK-er, som beskrevet i Tilbakekall CMK-er for leiere som er fjernet fra HDS.
Tilbakekall CMK-er for leiere som er fjernet fra HDS.
Før du begynner
Fjern kunder fra den aktuelle klyngen som beskrevet i Fjern leietakerorganisasjoner. Kjør HDS-installasjonsverktøyet for å fullføre fjerningsprosessen for kundeorganisasjonene som ble fjernet.
-
HDS-installasjonsverktøyet kjører som en Docker-beholder på en lokal maskin. Kjør Docker på maskinen for å få tilgang til den. Installasjonsprosessen krever legitimasjon for en Partner Hub-konto med fulle administratorrettigheter for organisasjonen din.
Hvis HDS-installasjonsverktøyet kjører bak en proxy i miljøet ditt, må du oppgi proxy-innstillingene (server, port, legitimasjon) gjennom Docker-miljøvariablene når du tar opp Docker-beholderen i trinn 5. Denne tabellen viser noen mulige miljøvariabler:
Beskrivelse
Variabel
HTTP-proxy uten autentisering
GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORTHTTPS-proxy uten autentisering
GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORTHTTP-proxy med autentisering
GLOBAL_AGENT_HTTP_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORTHTTPS-proxy med autentisering
GLOBAL_AGENT_HTTPS_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT -
ISO-konfigurasjonsfilen du genererer, inneholder hovednøkkelen som krypterer PostgreSQL- eller Microsoft SQL Server-databasen. Du trenger den nyeste kopien av denne filen hver gang du gjør konfigurasjonsendringer, for eksempel disse:
-
Databaselegitimasjon
-
Sertifikatoppdateringer
-
Endringer i godkjenningspolicyen
-
-
Hvis du planlegger å kryptere databasetilkoblinger, konfigurerer du distribusjonen av PostgreSQL eller SQL Server for TLS.
Installasjonsprosessen for hybriddatasikkerhet oppretter en ISO-fil. Deretter bruker du ISO til å konfigurere verten for hybriddatasikkerhet.
| 1 |
På maskinens kommandolinje angir du riktig kommando for miljøet: I vanlige miljøer: I FedRAMP-miljøer: Dette trinnet rydder opp tidligere HDS-installasjonsverktøy bilder. Hvis det ikke finnes noen tidligere bilder, returnerer det en feil som du kan ignorere. |
| 2 |
Skriv inn følgende for å logge på Docker-bilderegisteret: |
| 3 |
Skriv inn denne hashen når du blir bedt om passord: |
| 4 |
Last ned det nyeste stabile bildet for miljøet ditt: I vanlige miljøer: I FedRAMP-miljøer: |
| 5 |
Når trekket er fullført, skriver du inn riktig kommando for ditt miljø:
Når containeren kjører, ser du "Express server lytter på port 8080." |
| 6 |
Installasjonsverktøyet støtter ikke tilkobling til localhost via http://localhost:8080. Bruk http://127.0.0.1:8080 for å koble til localhost. Bruk en nettleser til å gå til localhost, Verktøyet bruker denne første oppføringen av brukernavnet til å angi riktig miljø for kontoen. Verktøyet viser deretter standard påloggingsmelding. |
| 7 |
Når du blir bedt om det, skriver du inn påloggingslegitimasjonen for Partner Hub-administrator, og klikker deretter på Logg på for å gi tilgang til de nødvendige tjenestene for hybriddatasikkerhet. |
| 8 |
Klikk på Kom i gang på oversiktssiden for oppsettsverktøyet. |
| 9 |
Klikk på Ja på siden ISO-import. |
| 10 |
Velg ISO-filen i nettleseren og last den opp. |
| 11 |
Gå til fanen Leietakers CMK-administrasjon , der du finner følgende tre måter å administrere leietakers CMK-er på.
|
| 12 |
Når CMK-opphevelse er fullført, vises ikke kundeorganisasjonen lenger i tabellen. |
| 13 |
Hvis CMK-tilbakekalling mislykkes, vises en feil. |
Test distribusjonen av hybrid datasikkerhet
Test distribusjonen av hybrid datasikkerhet
Før du begynner
-
Konfigurer distribusjonen av hybriddatasikkerhet for flere leietakere.
-
Sørg for at du har tilgang til syslog for å bekrefte at viktige forespørsler sendes til din distribusjon av hybriddatasikkerhet for flere leietakere.
| 1 |
Nøkler for et gitt område angis av skaperen av området. Logg på Webex-appen som en av brukerne av kundeorganisasjonen, og opprett deretter et område. Hvis du deaktiverer distribusjonen av hybriddatasikkerhet, er ikke innhold i områder som brukere oppretter, lenger tilgjengelig når de klientbufrede kopiene av krypteringsnøklene er erstattet. |
| 2 |
Send meldinger til det nye området. |
| 3 |
Kontroller syslog-utdataene for å bekrefte at nøkkelforespørslene sendes til distribusjonen av hybriddatasikkerhet. |
Overvåk sikkerhets helse for hybriddata
| 1 |
I Partner Hub velger du Tjenester fra menyen til venstre på skjermen. |
| 2 |
I delen Skytjenester finner du hybriddatasikkerhet og klikker på Rediger innstillinger. Siden Innstillinger for hybriddatasikkerhet vises.
|
| 3 |
Skriv inn én eller flere e-postadresser atskilt med komma i delen E-postvarsler, og trykk på Enter. |
Administrer HDS-distribusjonen din
Administrer HDS-distribusjon
Bruk oppgavene som er beskrevet her for å administrere distribusjonen av hybriddatasikkerhet.
Angi tidsplan for klyngeoppgradering
Slik angir du oppgraderingsplanen:
| 1 |
Logg på Partner Hub. |
| 2 |
Velg Tjenester fra menyen til venstre på skjermen. |
| 3 |
I delen Skytjenester finner du hybriddatasikkerhet og klikker på Konfigurer |
| 4 |
Velg klyngen på siden Hybrid Data Security Resources. |
| 5 |
Klikk på fanen Klyngeinnstillinger . |
| 6 |
Velg klokkeslett og tidssone for oppgraderingsplanen på siden Klyngeinnstillinger under Oppgraderingsplan. Merk: Under tidssonen vises neste tilgjengelige oppgraderingsdato og -klokkeslett. Du kan utsette oppgraderingen til neste dag ved å klikke på Utsett med 24 timer. |
Endre nodekonfigurasjonen
-
Endring av x.509-sertifikater på grunn av utløp eller andre årsaker.
Vi støtter ikke endring av CN-domenenavnet for et sertifikat. Domenet må samsvare med det opprinnelige domenet som ble brukt til å registrere klyngen.
-
Oppdaterer databaseinnstillinger for å endre til en kopi av PostgreSQL- eller Microsoft SQL Server-databasen.
Vi støtter ikke overføring av data fra PostgreSQL til Microsoft SQL Server, eller motsatt måte. Start en ny distribusjon av hybriddatasikkerhet for å bytte databasemiljøet.
-
Opprette en ny konfigurasjon for å klargjøre et nytt datasenter.
Av sikkerhetshensyn bruker Hybrid Data Security også passord for tjenestekontoer som har en levetid på ni måneder. Når HDS-installasjonsverktøyet har generert disse passordene, distribuerer du dem til hver av HDS-nodene i ISO-konfigurasjonsfilen. Når organisasjonens passord nærmer seg utløpsdato, mottar du et varsel fra Webex-teamet om å tilbakestille passordet for maskinkontoen din. (E-posten inneholder teksten "Bruk maskinkontoens API til å oppdatere passordet.") Hvis passordene dine ikke er utløpt ennå, gir verktøyet deg to alternativer:
-
Myk tilbakestilling– De gamle og de nye passordene fungerer begge i opptil 10 dager. Bruk denne perioden til å erstatte ISO-filen på nodene gradvis.
-
Hard tilbakestilling – De gamle passordene slutter å fungere umiddelbart.
Hvis passordene utløper uten tilbakestilling, påvirker det HDS-tjenesten din, noe som krever en umiddelbar hard tilbakestilling og erstatning av ISO-filen på alle noder.
Bruk denne fremgangsmåten til å generere en ny ISO-konfigurasjonsfil og bruke den på klyngen.
Før du begynner
-
HDS-installasjonsverktøyet kjører som en Docker-beholder på en lokal maskin. Kjør Docker på maskinen for å få tilgang til den. Installasjonsprosessen krever legitimasjon for en Partner Hub-konto med fullstendige partneradministratorrettigheter.
Hvis HDS-installasjonsverktøyet kjører bak en proxy i miljøet ditt, må du oppgi proxy-innstillingene (server, port, legitimasjon) gjennom Docker-miljøvariablene når du tar opp Docker-beholderen i 1.e. Denne tabellen viser noen mulige miljøvariabler:
Beskrivelse
Variabel
HTTP-proxy uten autentisering
GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORTHTTPS-proxy uten autentisering
GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORTHTTP-proxy med autentisering
GLOBAL_AGENT_HTTP_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORTHTTPS-proxy med autentisering
GLOBAL_AGENT_HTTPS_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT -
Du trenger en kopi av den gjeldende ISO-konfigurasjonsfilen for å generere en ny konfigurasjon. ISO inneholder hovednøkkelen som krypterer PostgreSQL- eller Microsoft SQL Server-databasen. Du trenger ISO når du gjør konfigurasjonsendringer, inkludert databaselegitimasjon, sertifikatoppdateringer eller endringer i godkjenningspolicyen.
| 1 |
Kjør HDS-installasjonsverktøyet ved hjelp av Docker på en lokal maskin. |
| 2 |
Hvis du bare kjører én HDS-node, oppretter du en ny hybrid datasikkerhetsnode VM og registrerer den ved hjelp av den nye ISO-konfigurasjonsfilen. Hvis du vil ha mer detaljerte instruksjoner, kan du se Opprette og registrere flere noder. |
| 3 |
Montere ISO-filen for eksisterende HDS-noder som kjører den eldre konfigurasjonsfilen. Utfør følgende prosedyre på hver node igjen, og oppdater hver node før du slår av neste node: |
| 4 |
Gjenta trinn 3 for å erstatte konfigurasjonen på hver gjenværende node som kjører den gamle konfigurasjonen. |
Slå av blokkert ekstern DNS-oppløsningsmodus
Når du registrerer en node eller sjekker nodens proxy-konfigurasjon, tester prosessen DNS-oppslag og tilkobling til Cisco Webex-skyen. Hvis nodens DNS-server ikke kan løse offentlige DNS-navn, går noden automatisk inn i modus for blokkert ekstern DNS-oppløsning.
Hvis nodene dine kan løse offentlige DNS-navn gjennom interne DNS-servere, kan du slå av denne modusen ved å kjøre proxy-tilkoblingstesten på nytt på hver node.
Før du begynner
| 1 |
Åpne nodegrensesnittet for hybriddatasikkerhet i en nettleser (IP-adresse/oppsett, for eksempel https://192.0.2.0/setup), angi administratorlegitimasjonen du har konfigurert for noden, og klikk deretter på Logg på. |
| 2 |
Gå til Oversikt (standardsiden). Når den er aktivert, settes Blokkert ekstern DNS-oppløsning til Ja. |
| 3 |
Gå til siden Klareringslager og proxy . |
| 4 |
Klikk på Kontroller proxy-tilkobling. Hvis du ser en melding om at den eksterne DNS-oppløsningen ikke var vellykket, kunne ikke noden nå DNS-serveren og vil forbli i denne modusen. Hvis ikke, etter at du har startet noden på nytt og gått tilbake til Oversikt -siden, skal Blokkert ekstern DNS-oppløsning settes til Nei. |
Hva du skal gjøre nå
Fjerne en node
| 1 |
Bruk VMware vSphere-klienten på datamaskinen til å logge på den virtuelle ESXi-verten og slå av den virtuelle maskinen. |
| 2 |
Fjern noden: |
| 3 |
Slett VM-en i vSphere-klienten. (Høyreklikk på VM i venstre navigasjonsrute, og klikk på Slett.) Hvis du ikke sletter VM-en, må du huske å avmontere ISO-konfigurasjonsfilen. Uten ISO-filen kan du ikke bruke VM til å få tilgang til sikkerhetsdataene dine. |
Katastrofegjenoppretting ved hjelp av standbydatasenter
Den mest kritiske tjenesten som din hybride datasikkerhetsklynge tilbyr, er oppretting og lagring av nøkler som brukes til å kryptere meldinger og annet innhold som er lagret i Webex-skyen. For hver bruker i organisasjonen som er tilordnet hybriddatasikkerhet, rutes nye forespørsler om nøkkeloppretting til klyngen. Klyngen er også ansvarlig for å returnere nøklene den er opprettet til brukere som er autorisert til å hente dem, for eksempel medlemmer av et samtaleområde.
Fordi klyngen utfører den kritiske funksjonen med å levere disse nøklene, er det viktig at klyngen forblir i drift og at riktige sikkerhetskopier opprettholdes. Tap av hybriddatasikkerhetsdatabasen eller konfigurasjons-ISO som brukes for skjemaet, vil føre til UGJENOPPRETTELIG TAP av kundeinnhold. Følgende fremgangsmåter er obligatoriske for å forhindre et slikt tap:
Hvis en katastrofe fører til at HDS-distribusjonen i det primære datasenteret blir utilgjengelig, følger du denne fremgangsmåten for å manuelt failover til standbydatasenteret.
Før du begynner
| 1 |
Start HDS-installasjonsverktøyet og følg trinnene som er nevnt i Opprett en konfigurasjons-ISO for HDS-verter. |
| 2 |
Fullfør konfigurasjonsprosessen og lagre ISO-filen på et sted som er lett å finne. |
| 3 |
Ta en sikkerhetskopi av ISO-filen på ditt lokale system. Behold sikkerhetskopien sikker. Denne filen inneholder en hovedkrypteringsnøkkel for databaseinnholdet. Begrens tilgangen til bare de hybriddatasikkerhetsadministratorene som skal foreta konfigurasjonsendringer. |
| 4 |
Høyreklikk på VM i venstre navigasjonsrute til VMware vSphere-klienten, og klikk på Rediger innstillinger. |
| 5 |
Klikk på Rediger innstillinger >CD/DVD-stasjon 1 og velg ISO-fil for datalager. Kontroller at Tilkoblet og Koble til ved påslått er merket av slik at oppdaterte konfigurasjonsendringer kan tre i kraft etter at nodene er startet. |
| 6 |
Slå på HDS-noden og sørg for at det ikke er noen alarmer i minst 15 minutter. |
| 7 |
Registrer noden i Partner Hub. Se Registrer den første noden i klyngen. |
| 8 |
Gjenta prosessen for hver node i standbydatasenteret. |
Hva du skal gjøre nå
(Valgfritt) Fjern ISO etter HDS-konfigurasjon
Standard HDS-konfigurasjon kjøres med ISO-montert. Men noen kunder foretrekker ikke å forlate ISO-filer kontinuerlig montert. Du kan avmontere ISO-filen etter at alle HDS-nodene har tatt opp den nye konfigurasjonen.
Du bruker fortsatt ISO-filene til å foreta konfigurasjonsendringer. Når du oppretter en ny ISO eller oppdaterer en ISO gjennom installasjonsverktøyet, må du montere den oppdaterte ISO-en på alle HDS-nodene dine. Når alle nodene har plukket opp konfigurasjonsendringene, kan du avmontere ISO-en igjen med denne fremgangsmåten.
Før du begynner
Oppgrader alle HDS-nodene dine til versjon 2021.01.22.4720 eller nyere.
| 1 |
Slå av en av HDS-nodene dine. |
| 2 |
Velg HDS-noden i vCenter Server Appliance. |
| 3 |
Velg og fjern merket for ISO-fil for datalager. |
| 4 |
Slå på HDS-noden og sørg for at det ikke er noen alarmer i minst 20 minutter. |
| 5 |
Gjenta for hver HDS-node i sin tur. |
Feilsøke hybrid datasikkerhet
Vis varsler og feilsøking
En distribusjon av hybriddatasikkerhet anses som utilgjengelig hvis alle nodene i klyngen ikke er tilgjengelige, eller klyngen fungerer så sakte at forespørslene blir tidsavbrutt. Hvis brukere ikke kan nå din hybride datasikkerhetsklynge, opplever de følgende symptomer:
-
Nye områder kan ikke opprettes (kan ikke opprette nye nøkler)
-
Meldinger og områdetitler kan ikke dekrypteres for:
-
Nye brukere lagt til i et område (kan ikke hente nøkler)
-
Eksisterende brukere i et område som bruker en ny klient (kan ikke hente nøkler)
-
-
Eksisterende brukere i et område vil fortsette å kjøre vellykket så lenge klientene deres har en hurtigbuffer med krypteringsnøklene
Det er viktig at du overvåker den hybride datasikkerhetsklyngen riktig og adresserer eventuelle varsler umiddelbart for å unngå tjenesteavbrudd.
Varsler
Hvis det er et problem med oppsettet av hybriddatasikkerhet, viser Partner Hub varsler til organisasjonens administrator og sender e-post til den konfigurerte e-postadressen. Varslene dekker mange vanlige scenarier.
|
Varsel |
Handling |
|---|---|
|
Feil ved tilgang til lokal database. |
Se etter databasefeil eller lokale nettverksproblemer. |
|
Feil ved lokal databasetilkobling. |
Kontroller at databaseserveren er tilgjengelig, og at riktig tjenestekontolegitimasjon ble brukt i nodekonfigurasjonen. |
|
Feil ved tilgang til skytjeneste. |
Kontroller at nodene har tilgang til Webex-serverne som angitt i Krav til ekstern tilkobling. |
|
Fornye registrering av skytjeneste. |
Registrering til skytjenester ble avbrutt. Fornyelse av registrering pågår. |
|
Registrering av skytjeneste avbrutt. |
Registrering til skytjenester avsluttet. Tjenesten er stengt. |
|
Tjenesten er ikke aktivert ennå. |
Aktiver HDS i Partner Hub. |
|
Konfigurert domene samsvarer ikke med serversertifikatet. |
Kontroller at serversertifikatet samsvarer med det konfigurerte tjenesteaktiveringsdomenet. Den mest sannsynlige årsaken er at sertifikatets CN nylig ble endret og nå er forskjellig fra CN som ble brukt under den første installasjonen. |
|
Kunne ikke autentisere seg til skytjenester. |
Sjekk for nøyaktighet og mulig utløp av legitimasjon for tjenestekontoen. |
|
Kunne ikke åpne lokal nøkkelbutikkfil. |
Kontroller integritet og passordnøyaktighet på den lokale nøkkelbutikkfilen. |
|
Det lokale serversertifikatet er ugyldig. |
Kontroller serversertifikatets utløpsdato og bekreft at det ble utstedt av en klarert sertifiseringsinstans. |
|
Kan ikke legge ut måledata. |
Kontroller lokal nettverkstilgang til eksterne skytjenester. |
|
/media/configdrive/hds-katalog finnes ikke. |
Kontroller konfigurasjonen av ISO-monteringen på virtuell vert. Kontroller at ISO-filen finnes, at den er konfigurert til å monteres ved omstart, og at den monteres. |
|
Oppsett av leietakerorganisasjon er ikke fullført for de tilførte organisasjonene |
Fullfør oppsettet ved å opprette CMK-er for nylig tillagte leietakerorganisasjoner ved hjelp av HDS-installasjonsverktøyet. |
|
Oppsett av leietakerorganisasjon er ikke fullført for fjernede organisasjoner |
Fullfør oppsettet ved å tilbakekalle CMK-er for leietakerorganisasjoner som ble fjernet ved hjelp av HDS-installasjonsverktøyet. |
Feilsøke hybrid datasikkerhet
| 1 |
Se gjennom Partner Hub for eventuelle varsler og fikse eventuelle elementer du finner der. Se bildet nedenfor for referanse. |
| 2 |
Se gjennom syslog-serverens utdata for aktivitet fra distribusjonen av hybriddatasikkerhet. Filtrer etter ord som "Advarsel" og "Feil" for å hjelpe til med feilsøking. |
| 3 |
Kontakt Ciscos kundestøtte. |
Andre merknader
Kjente problemer for hybrid datasikkerhet
-
Hvis du avslutter klyngen for hybriddatasikkerhet (ved å slette den i Partner Hub eller ved å avslutte alle noder), mister konfigurasjons-ISO-filen eller mister tilgangen til nøkkelbutikkdatabasen, kan ikke Webex-appbrukere i kundeorganisasjoner lenger bruke områder under Personer-listen sin som ble opprettet med nøkler fra KMS. Vi har for øyeblikket ingen løsning eller løsning på dette problemet, og vi oppfordrer deg til ikke å avslutte HDS-tjenestene når de håndterer aktive brukerkontoer.
-
En klient som har en eksisterende ECDH-tilkobling til en KMS opprettholder denne tilkoblingen i en tidsperiode (sannsynligvis én time).
Bruk OpenSSL til å generere en PKCS12-fil
Før du begynner
-
OpenSSL er et verktøy som kan brukes til å lage PKCS12-filen i riktig format for lasting i HDS-installasjonsverktøyet. Det finnes andre måter å gjøre dette på, og vi støtter ikke eller fremmer en måte fremfor en annen.
-
Hvis du velger å bruke OpenSSL, tilbyr vi denne prosedyren som en veiledning for å hjelpe deg med å opprette en fil som oppfyller X.509-sertifikatkravene i X.509-sertifikatkrav. Forstå disse kravene før du fortsetter.
-
Installer OpenSSL i et støttet miljø. Se https://www.openssl.org for programvare og dokumentasjon.
-
Opprett en privat nøkkel.
-
Start denne prosedyren når du mottar serversertifikatet fra Certificate Authority (CA).
| 1 |
Når du mottar serversertifikatet fra din CA, lagrer du det som |
| 2 |
Vis sertifikatet som tekst og bekreft detaljene.
|
| 3 |
Bruk et tekstredigeringsprogram til å opprette en sertifikatbuntfil kalt
|
| 4 |
Opprett .p12-filen med det vennlige navnet
|
| 5 |
Kontroller serversertifikatdetaljene. |
Hva du skal gjøre nå
Gå tilbake til Fullfør forutsetningene for hybrid datasikkerhet. Du bruker hdsnode.p12 -filen og passordet du har angitt for den, i Opprett en konfigurasjons-ISO for HDS-verter.
Du kan bruke disse filene på nytt for å be om et nytt sertifikat når det opprinnelige sertifikatet utløper.
Trafikk mellom HDS-nodene og skyen
Utgående metrikkinnsamlingstrafikk
Nodene for hybriddatasikkerhet sender visse målinger til Webex-skyen. Disse inkluderer systemmålinger for maks. heap, heap brukt, CPU-belastning og antall tråder, målinger på synkrone og asynkrone tråder, målinger på varsler som involverer en terskel for krypteringstilkoblinger, ventetid eller lengde på en forespørselskø, målinger på datalageret og krypteringstilkoblingsmålinger. Nodene sender kryptert nøkkelmateriale over en kanal utenfor båndet (atskilt fra forespørselen).
Innkommende trafikk
Nodene for hybriddatasikkerhet mottar følgende typer innkommende trafikk fra Webex-skyen:
-
Krypteringsforespørsler fra klienter som rutes av krypteringstjenesten
-
Oppgraderinger til nodeprogramvaren
Konfigurere Squid-proxyer for hybriddatasikkerhet
Websocket kan ikke koble til via Squid-proxy
Squid-proxyer som inspiserer HTTPS-trafikk kan forstyrre etableringen av websocket-tilkoblinger (wss:) som hybriddatasikkerhet krever. Disse delene gir veiledning om hvordan du konfigurerer forskjellige versjoner av Squid til å ignorere wss: trafikk for riktig drift av tjenestene.
Squid 4 og 5
Legg til on_unsupported_protocol direktivet i squid.conf:
on_unsupported_protocol tunnel alleSquid 3.5.27
Vi testet hybriddatasikkerhet med følgende regler lagt til i squid.conf. Disse reglene kan endres etter hvert som vi utvikler funksjoner og oppdaterer Webex-skyen.
acl wssMercuryConnection ssl::server_name_regex mercury-tilkobling ssl_bump splice wssMercuryConnection acl step1 at_step SslBump1 acl step2 at_step SslBump2 acl step3 at_step SslBump3 ssl_bump titte step1 alle ssl_bump stirre step2 alle ssl_bump bump step3 alleNy og endret informasjon
Ny og endret informasjon
Denne tabellen dekker nye funksjoner eller funksjonalitet, endringer i eksisterende innhold og eventuelle store feil som ble løst i distribusjonsveiledningen for hybriddatasikkerhet for flere leietakere.
|
Dato |
Endringer gjort |
|---|---|
|
08. januar 2025 |
La til en merknad i Utfør innledende konfigurering og nedlasting av installasjonsfiler som sier at det er et viktig trinn i installasjonsprosessen å klikke på Konfigurer på HDS-kortet i Partner Hub. |
|
07. januar 2025 |
Oppdaterte krav til virtuell vert, oppgaveflyt for distribusjon av hybrid datasikkerhet og Installer HDS Host OVA for å vise nye krav til ESXi 7.0. |
|
13. desember 2024 |
Først publisert. |
Deaktivere hybriddatasikkerhet for flere leietakere
Oppgaveflyt for deaktivering av HDS for flere leietakere
Følg disse trinnene for å deaktivere HDS for flere leietakere fullstendig.
Før du begynner
| 1 |
Fjern alle kunder fra alle klyngene dine, som nevnt i Fjern leietakerorganisasjoner. |
| 2 |
Tilbakekall CMK-er for alle kunder, som nevnt i Tilbakekall CMK-er for leiere som er fjernet fra HDS.. |
| 3 |
Fjern alle noder fra alle klyngene dine, som nevnt i Fjern en node. |
| 4 |
Slett alle klyngene dine fra Partner Hub ved hjelp av én av følgende to metoder.
|
| 5 |
Klikk på fanen Innstillinger på oversiktssiden for hybriddatasikkerhet, og klikk på Deaktiver HDS på HDS-statuskortet. |
Kom i gang med hybriddatasikkerhet for flere leietakere
Oversikt over hybriddatasikkerhet for flere leietakere
Fra dag én har datasikkerhet vært hovedfokuset i utformingen av Webex-appen. Hjørnesteinen i denne sikkerheten er innholdskryptering fra ende-til-ende, aktivert av Webex-appklienter som samhandler med Key Management Service (KMS). KMS er ansvarlig for å opprette og administrere kryptografiske nøkler som klienter bruker til dynamisk kryptering og dekryptering av meldinger og filer.
Som standard får alle Webex-appkunder ende-til-ende-kryptering med dynamiske nøkler lagret i skyen KMS, i Ciscos sikkerhetsområde. Hybrid Data Security flytter KMS og andre sikkerhetsrelaterte funksjoner til bedriftens datasenter, så ingen andre enn deg har nøklene til ditt krypterte innhold.
Hybriddatasikkerhet med flere leietakere gjør det mulig for organisasjoner å utnytte HDS gjennom en klarert lokal partner, som kan fungere som tjenesteleverandør og administrere lokal kryptering og andre sikkerhetstjenester. Dette oppsettet gjør det mulig for partnerorganisasjonen å ha full kontroll over distribusjon og administrasjon av krypteringsnøkler og sikrer at brukerdata fra kundeorganisasjoner er trygge mot ekstern tilgang. Partnerorganisasjoner setter opp HDS-forekomster og oppretter HDS-klynger etter behov. Hver forekomst kan støtte flere kundeorganisasjoner i motsetning til en vanlig HDS-distribusjon som er begrenset til én enkelt organisasjon.
Dette gjør det også mulig for mindre organisasjoner å utnytte HDS, siden tjeneste for nøkkeladministrasjon og sikkerhetsinfrastruktur som datasentre eies av den klarerte lokale partneren.
Hvordan hybriddatasikkerhet for flere leietakere gir datasuverenitet og datakontroll
- Brukergenerert innhold er beskyttet mot ekstern tilgang, for eksempel skytjenesteleverandører.
- Lokale klarerte partnere administrerer krypteringsnøklene til kunder de allerede har etablert relasjoner med.
- Alternativ for lokal teknisk støtte, hvis den leveres av partneren.
- Støtter innhold i møter, meldinger og anrop.
Dette dokumentet er ment å hjelpe partnerorganisasjoner med å konfigurere og administrere kunder under et hybriddatasikkerhetssystem for flere leietakere.
Roller i hybriddatasikkerhet for flere leietakere
- Fullstendig partneradministrator – Kan administrere innstillinger for alle kunder som partneren administrerer. Kan også tilordne administratorroller til eksisterende brukere i organisasjonen og tilordne bestemte kunder som skal administreres av partneradministratorer.
- Partneradministrator – Kan administrere innstillinger for kunder som administratoren har klargjort, eller som er tilordnet brukeren.
- Fullverdig administrator – Administrator for partnerorganisasjonen som er autorisert til å utføre oppgaver som å endre organisasjonsinnstillinger, administrere lisenser og tilordne roller.
- Oppsett og administrasjon av HDS med flere leietakere fra ende til ende for alle kundeorganisasjoner – fullstendig partneradministrator og fullstendige administratorrettigheter kreves.
- Administrasjon av tilordnede leietakerorganisasjoner – Partneradministrator og fullstendige administratorrettigheter kreves.
Sikkerhetsområde arkitektur
Webex-skyarkitekturen skiller forskjellige typer tjenester inn i separate områder, eller klareringsdomener, som vist nedenfor.
For å forstå hybrid datasikkerhet ytterligere, la oss først se på dette rene skytilfellet, der Cisco leverer alle funksjonene i sine skyområder. Identitetstjenesten, det eneste stedet der brukere kan være direkte korrelert med sine personopplysninger, for eksempel e-postadresse, er logisk og fysisk adskilt fra sikkerhetsområdet i datasenter B. Begge er i sin tur adskilt fra området der kryptert innhold lagres, i datasenter C.
I dette diagrammet er klienten Webex-appen som kjører på en brukers bærbare datamaskin, og er godkjent med identitetstjenesten. Når brukeren skriver en melding som skal sendes til et område, utføres følgende trinn:
-
Klienten oppretter en sikker tilkobling til nøkkeladministrasjonstjenesten (KMS), og ber deretter om en nøkkel for å kryptere meldingen. Den sikre tilkoblingen bruker ECDH, og KMS krypterer nøkkelen ved hjelp av en hovednøkkel AES-256.
-
Meldingen krypteres før den forlater klienten. Klienten sender det til indekseringstjenesten, som oppretter krypterte søkeindekser for å hjelpe i fremtidige søk etter innholdet.
-
Den krypterte meldingen sendes til samsvarstjenesten for kontroll av samsvar.
-
Den krypterte meldingen lagres i lagringsområdet.
Når du distribuerer hybrid datasikkerhet, flytter du sikkerhetsområdefunksjonene (KMS, indeksering og samsvar) til det lokale datasenteret. De andre skytjenestene som utgjør Webex (inkludert identitets- og innholdslagring) forblir i Ciscos områder.
Samarbeide med andre organisasjoner
Brukere i organisasjonen kan regelmessig bruke Webex-appen til å samarbeide med eksterne deltakere i andre organisasjoner. Når en av brukerne ber om en nøkkel for et område som eies av organisasjonen din (fordi det ble opprettet av en av brukerne), sender KMS nøkkelen til klienten via en ECDH-sikret kanal. Når en annen organisasjon eier nøkkelen for området, sender KMS imidlertid forespørselen ut til Webex-skyen via en egen ECDH-kanal for å hente nøkkelen fra den aktuelle KMS, og returnerer deretter nøkkelen til brukeren din på den opprinnelige kanalen.
KMS-tjenesten som kjører på Org A, validerer tilkoblingene til KMS i andre organisasjoner ved hjelp av x.509 PKI-sertifikater. Se Forbered miljøet hvis du vil ha mer informasjon om hvordan du genererer et x.509-sertifikat som skal brukes med distribusjonen av hybriddatasikkerhet for flere leietakere.
Forventninger til distribusjon av hybrid datasikkerhet
En distribusjon av hybrid datasikkerhet krever betydelig forpliktelse og bevissthet om risikoene som følger med å eie krypteringsnøkler.
For å distribuere hybrid datasikkerhet må du oppgi:
-
Et sikkert datasenter i et land som er et støttet sted for Cisco Webex Teams-planene.
-
Utstyret, programvaren og nettverkstilgangen som er beskrevet i Forbered miljøet.
Fullstendig tap av enten konfigurasjons-ISO-en du bygger for hybriddatasikkerhet eller databasen du leverer, vil føre til tap av nøklene. Nøkkeltap hindrer brukere i å dekryptere områdeinnhold og andre krypterte data i Webex-appen. Hvis dette skjer, kan du bygge en ny distribusjon, men bare nytt innhold vil være synlig. For å unngå tap av tilgang til data må du:
-
Administrer sikkerhetskopiering og gjenoppretting av databasen og konfigurasjons-ISO.
-
Vær forberedt på å utføre rask katastrofegjenoppretting hvis en katastrofe oppstår, for eksempel databasediskfeil eller datasenterkatastrofe.
Det finnes ingen mekanisme for å flytte nøkler tilbake til skyen etter en HDS-distribusjon.
Oppsettsprosess på høyt nivå
Dette dokumentet dekker oppsettet og administrasjonen av en distribusjon av hybriddatasikkerhet for flere leietakere:
-
Konfigurere hybrid datasikkerhet – Dette inkluderer klargjøring av nødvendig infrastruktur og installering av hybrid datasikkerhetsprogramvare, bygging av en HDS-klynge, tillegging av leierorganisasjoner i klyngen og administrasjon av kundens hovednøkler (CMK-er). Dette vil gjøre det mulig for alle brukere i kundeorganisasjonene dine å bruke den hybride datasikkerhetsklyngen til sikkerhetsfunksjoner.
Installasjons-, aktiverings- og administrasjonsfasene er beskrevet i detalj i de neste tre kapitlene.
-
Oppretthold distribusjonen av hybrid datasikkerhet – Webex-skyen gir automatisk pågående oppgraderinger. IT-avdelingen din kan gi støtte på nivå én for denne distribusjonen, og engasjere Cisco-støtte etter behov. Du kan bruke varsler på skjermen og konfigurere e-postbaserte varsler i Partner Hub.
-
Forstå vanlige varsler, feilsøkingstrinn og kjente problemer– Hvis du har problemer med å distribuere eller bruke hybriddatasikkerhet, kan det siste kapitlet i denne veiledningen og vedlegget Kjente problemer hjelpe deg med å finne og løse problemet.
Distribusjonsmodell for hybrid datasikkerhet
I bedriftens datasenter distribuerer du hybrid datasikkerhet som én klynge med noder på separate virtuelle verter. Nodene kommuniserer med Webex-skyen via sikre websockets og sikre HTTP.
Under installasjonsprosessen gir vi deg OVA-filen for å konfigurere det virtuelle apparatet på VM-ene du leverer. Du bruker HDS-installasjonsverktøyet til å opprette en egendefinert ISO-fil for klyngekonfigurasjon som du monterer på hver node. Den hybride datasikkerhetsklyngen bruker den oppgitte Syslogd-serveren og PostgreSQL- eller Microsoft SQL Server-databasen. (Du konfigurerer Syslogd- og databasetilkoblingsdetaljene i HDS-installasjonsverktøyet.)
Minimum antall noder du kan ha i en klynge, er to. Vi anbefaler minst tre per klynge. Å ha flere noder sikrer at tjenesten ikke avbrytes under en programvareoppgradering eller annen vedlikeholdsaktivitet på en node. (Webex-skyen oppgraderer bare én node om gangen.)
Alle noder i en klynge får tilgang til samme nøkkeldatalager og loggaktivitet til samme syslog-server. Nodene selv er statsløse, og håndterer nøkkelforespørsler på rund-robin-modus, som styres av skyen.
Noder blir aktive når du registrerer dem i Partner Hub. Hvis du vil ta en individuell node ut av drift, kan du avregistrere den og senere registrere den på nytt om nødvendig.
Standby Data Center for katastrofegjenoppretting
Under distribusjonen setter du opp et sikkert standbydatasenter. I tilfelle en datasenterkatastrofe, kan du manuelt mislykkes distribusjonen til standbydatasenteret.
Databasene til de aktive datasentrene og standbydatasentrene er synkronisert med hverandre, noe som vil minimere tiden det tar å utføre failover.
De aktive nodene for hybriddatasikkerhet må alltid være i samme datasenter som den aktive databaseserveren.
Proxy-støtte
Hybrid Data Security støtter eksplisitte, gjennomsiktige inspeksjons- og ikke-inspeksjons-proxyer. Du kan knytte disse proxyene til distribusjonen slik at du kan sikre og overvåke trafikk fra bedriften og ut til skyen. Du kan bruke et plattformadministratorgrensesnitt på nodene for sertifikatadministrasjon og for å kontrollere den generelle tilkoblingsstatusen etter at du har konfigurert proxyen på nodene.
Nodene for hybriddatasikkerhet støtter følgende proxy-alternativer:
-
Ingen proxy – Standard hvis du ikke bruker HDS-nodeoppsettet Trust Store & Proxy-konfigurasjonen til å integrere en proxy. Ingen sertifikatoppdatering er nødvendig.
-
Gjennomsiktig ikke-inspeksjons-proxy– Nodene er ikke konfigurert til å bruke en bestemt proxy-serveradresse og bør ikke kreve endringer for å fungere med en ikke-inspeksjons-proxy. Ingen sertifikatoppdatering er nødvendig.
-
Gjennomsiktig tunnelering eller inspeksjons-proxy– Nodene er ikke konfigurert til å bruke en bestemt proxy-serveradresse. Ingen endringer i HTTP- eller HTTPS-konfigurasjonen er nødvendig på nodene. Nodene trenger imidlertid et rotsertifikat slik at de stoler på proxyen. Inspeksjons-proxyer brukes vanligvis av IT til å håndheve retningslinjer for hvilke nettsteder som kan besøkes og hvilke typer innhold som ikke er tillatt. Denne typen proxy dekrypterer all trafikken din (til og med HTTPS).
-
Eksplisitt proxy – Med eksplisitt proxy forteller du HDS-nodene hvilken proxy-server og godkjenningsskjema som skal brukes. Hvis du vil konfigurere en eksplisitt proxy, må du angi følgende informasjon på hver node:
-
Proxy-IP/FQDN – Adresse som kan brukes til å nå proxy-maskinen.
-
Proxy-port – Et portnummer som proxyen bruker til å lytte etter proxy-trafikk.
-
Proxy-protokoll – Avhengig av hva proxy-serveren støtter, velger du mellom følgende protokoller:
-
HTTP – viser og kontrollerer alle forespørsler som klienten sender.
-
HTTPS – Gir en kanal til serveren. Klienten mottar og validerer serverens sertifikat.
-
-
Godkjenningstype– velg blant følgende godkjenningstyper:
-
Ingen – Ingen ytterligere godkjenning er nødvendig.
Tilgjengelig hvis du velger enten HTTP eller HTTPS som proxy-protokoll.
-
Grunnleggende – Brukes for en HTTP-brukeragent til å oppgi brukernavn og passord når du foretar en forespørsel. Bruker Base64-koding.
Tilgjengelig hvis du velger enten HTTP eller HTTPS som proxy-protokoll.
Krever at du skriver inn brukernavn og passord for hver node.
-
Sammendrag – Brukes til å bekrefte kontoen før sensitiv informasjon sendes. Bruker en hash-funksjon på brukernavnet og passordet før det sendes over nettverket.
Bare tilgjengelig hvis du velger HTTPS som proxy-protokoll.
Krever at du skriver inn brukernavn og passord for hver node.
-
-
Eksempel på noder og proxy for hybriddatasikkerhet
Dette diagrammet viser en eksempelkobling mellom hybriddatasikkerhet, nettverk og en proxy. For gjennomsiktig inspeksjon og eksplisitt HTTPS-inspeksjons-proxy-alternativer, må det samme rotsertifikatet være installert på proxyen og på nodene for hybriddatasikkerhet.
Blokkert ekstern DNS-oppløsningsmodus (eksplisitte proxy-konfigurasjoner)
Når du registrerer en node eller sjekker nodens proxy-konfigurasjon, tester prosessen DNS-oppslag og tilkobling til Cisco Webex-skyen. I distribusjoner med eksplisitte proxy-konfigurasjoner som ikke tillater ekstern DNS-oppløsning for interne klienter, går den automatisk inn i blokkert ekstern DNS-oppløsning-modus hvis noden ikke kan spørre DNS-serverne. I denne modusen kan noderegistrering og andre proxy-tilkoblingstester fortsette.
Forbered miljøet ditt
Krav til hybriddatasikkerhet for flere leietakere
Krav til Cisco Webex-lisens
Slik distribuerer du hybriddatasikkerhet for flere leietakere:
-
Partnerorganisasjoner: Kontakt din Cisco-partner eller kontoadministrator og sørg for at funksjonen for flere leietakere er aktivert.
-
Leietakerorganisasjoner: Du må ha Pro Pack for Cisco Webex Control Hub. (Se https://www.cisco.com/go/pro-pack.)
Krav til Docker-skrivebord
Før du installerer HDS-nodene, trenger du Docker Desktop for å kjøre et installasjonsprogram. Docker oppdaterte nylig sin lisensieringsmodell. Organisasjonen din kan kreve et betalt abonnement på Docker Desktop. Hvis du vil ha mer informasjon, kan du se innlegget til Docker-bloggen, «Docker oppdaterer og utvider våre produktabonnementer».
X.509-sertifikatkrav
Sertifikatkjeden må oppfylle følgende krav:
|
Krav |
Detaljer |
|---|---|
|
Som standard stoler vi på sertifiseringsinstansene i Mozilla-listen (med unntak av WoSign og StartCom) på https://wiki.mozilla.org/CA:IncludedCAs. |
|
CN trenger ikke å være tilgjengelig eller en direkte vert. Vi anbefaler at du bruker et navn som gjenspeiler organisasjonen din, for eksempel CN kan ikke inneholde et * (jokertegn). CN brukes til å bekrefte nodene for hybriddatasikkerhet til Webex-appklienter. Alle nodene for hybriddatasikkerhet i klyngen bruker det samme sertifikatet. KMS identifiserer seg selv ved hjelp av CN-domenet, ikke et domene som er definert i x.509v3 SAN-feltene. Når du har registrert en node med dette sertifikatet, støtter vi ikke endring av CN-domenenavnet. |
|
KMS-programvaren støtter ikke SHA1-signaturer for validering av tilkoblinger til andre organisasjons KMS-er. |
|
Du kan bruke en konverter som OpenSSL til å endre sertifikatets format. Du må angi passordet når du kjører HDS-installasjonsverktøyet. |
KMS-programvaren håndhever ikke nøkkelbruk eller utvidede begrensninger for nøkkelbruk. Noen sertifikatmyndigheter krever at utvidede nøkkelbruksbegrensninger brukes på hvert sertifikat, for eksempel servergodkjenning. Det er greit å bruke servergodkjenningen eller andre innstillinger.
Krav til virtuell vert
De virtuelle vertene som du vil konfigurere som Hybrid Data Security-noder i klyngen har følgende krav:
-
Minst to separate verter (3 anbefales) plassert i samme sikre datasenter
-
VMware ESXi 7.0 (eller nyere) installert og kjører.
Du må oppgradere hvis du har en tidligere versjon av ESXi.
-
Minimum 4 vCPU-er, 8 GB hovedminne, 30 GB lokalt harddiskplass per server
Krav til databaseserver
Opprett en ny database for nøkkellagring. Ikke bruk standarddatabasen. HDS-programmene oppretter databaseskjemaet når de er installert.
Det finnes to alternativer for databaseserver. Kravene til hver av dem er som følger:
|
PostgreSql |
Microsoft SQL Server |
|---|---|
|
|
|
Minimum 8 vCPU-er, 16 GB hovedminne, tilstrekkelig harddiskplass og overvåking for å sikre at det ikke overskrides (2 TB anbefales hvis du vil kjøre databasen i lang tid uten å måtte øke lagringsplassen) |
Minimum 8 vCPU-er, 16 GB hovedminne, tilstrekkelig harddiskplass og overvåking for å sikre at det ikke overskrides (2 TB anbefales hvis du vil kjøre databasen i lang tid uten å måtte øke lagringsplassen) |
HDS-programvaren installerer for øyeblikket følgende driverversjoner for kommunikasjon med databaseserveren:
|
PostgreSql |
Microsoft SQL Server |
|---|---|
|
Postgres JDBC driver 42.2.5 |
SQL Server JDBC driver 4.6 Denne driverversjonen støtter SQL Server Always On (Always On Failover Cluster Instances og Always On Availability Groups). |
Ytterligere krav for Windows-godkjenning mot Microsoft SQL Server
Hvis du vil at HDS-noder skal bruke Windows-godkjenning for å få tilgang til Keystore-databasen på Microsoft SQL Server, trenger du følgende konfigurasjon i miljøet ditt:
-
HDS-nodene, Active Directory-infrastrukturen og MS SQL Server må alle synkroniseres med NTP.
-
Windows-kontoen du oppgir til HDS-noder, må ha lese-/skrivetilgang til databasen.
-
DNS-serverne du leverer til HDS-noder, må kunne løse nøkkeldistribusjonssenteret (KDC).
-
Du kan registrere HDS-databaseforekomsten på Microsoft SQL Server som et tjenestehovednavn (SPN) i Active Directory. Se Registrer tjenestens hovednavn for Kerberos-tilkoblinger.
HDS-installasjonsverktøyet, HDS-oppstartsprogrammet og lokal KMS må bruke Windows-godkjenning for å få tilgang til nøkkelbutikkdatabasen. De bruker detaljene fra ISO-konfigurasjonen til å konstruere SPN-en når de ber om tilgang med Kerberos-godkjenning.
Krav til ekstern tilkobling
Konfigurer brannmuren slik at den tillater følgende tilkobling for HDS-programmene:
|
Applikasjon |
Protokoll |
Port |
Retning fra appen |
Destinasjon |
|---|---|---|---|---|
|
Noder for hybriddatasikkerhet |
tcp |
443 |
Utgående HTTPS og WSS |
|
|
HDS-oppsettsverktøy |
tcp |
443 |
Utgående HTTPS |
|
Nodene for hybriddatasikkerhet fungerer med oversettelse av nettverkstilgang (NAT) eller bak en brannmur, så lenge NAT eller brannmuren tillater de nødvendige utgående tilkoblingene til domenet-målene i tabellen ovenfor. Ingen porter skal være synlige fra Internett for tilkoblinger som går inn til nodene for hybriddatasikkerhet. I datasenteret trenger klienter tilgang til nodene for hybriddatasikkerhet på TCP-portene 443 og 22 av administrative grunner.
URL-adressene for Common Identity (CI)-vertene er områdespesifikke. Dette er de gjeldende CI-vertene:
|
Region |
URL-adresser for Common Identity Host |
|---|---|
|
Nord-Amerika |
|
|
Den europeiske union |
|
|
Canada |
|
| Singapore |
|
| De forente arabiske emirater |
|
Krav til proxy-server
-
Vi støtter offisielt følgende proxy-løsninger som kan integreres med nodene for hybriddatasikkerhet.
-
Gjennomsiktig proxy – Cisco Web Security Appliance (WSA).
-
Eksplisitt proxy – Squid.
Squid-proxyer som inspiserer HTTPS-trafikk kan forstyrre opprettelsen av websocket-tilkoblinger (wss:). Hvis du vil omgå dette problemet, kan du se Konfigurere Squid-proxyer for hybriddatasikkerhet.
-
-
Vi støtter følgende kombinasjoner av godkjenningstyper for eksplisitte proxyer:
-
Ingen godkjenning med HTTP eller HTTPS
-
Grunnleggende godkjenning med HTTP eller HTTPS
-
Digest-godkjenning kun med HTTPS
-
-
For en gjennomsiktig inspeksjons-proxy eller en eksplisitt HTTPS-proxy, må du ha en kopi av proxyens rotsertifikat. Distribusjonsinstruksjonene i denne veiledningen forteller deg hvordan du laster opp kopien til klareringslagrene for hybriddatasikkerhetsnodene.
-
Nettverket som er vert for HDS-nodene, må konfigureres til å tvinge utgående TCP-trafikk på port 443 til å rute gjennom proxyen.
-
Proxyer som inspiserer webtrafikk kan forstyrre Web Socket-tilkoblinger. Hvis dette problemet oppstår, vil det å omgå (ikke inspisere) trafikk til
wbx2.com, ogciscospark.comvil løse problemet.
Fullfør forutsetningene for hybrid datasikkerhet
| 1 |
Sørg for at partnerorganisasjonen din har HDS-funksjonen for flere leietakere aktivert og få legitimasjonen til en konto med fullstendig partneradministrator og fullstendige administratorrettigheter. Påse at Webex-kundeorganisasjonen er aktivert for Pro Pack for Cisco Webex Control Hub. Kontakt din Cisco-partner eller kontoadministrator for å få hjelp med denne prosessen. Kundeorganisasjoner skal ikke ha noen eksisterende HDS-distribusjon. |
| 2 |
Velg et domenenavn for HDS-distribusjonen (for eksempel |
| 3 |
Klargjør identiske virtuelle verter som du vil konfigurere som Hybrid Data Security-noder i klyngen. Du trenger minst to separate verter (3 anbefales) plassert i samme sikre datasenter, som oppfyller kravene i Krav til virtuelle verter. |
| 4 |
Klargjør databaseserveren som skal fungere som nøkkeldatalager for klyngen, i henhold til Databaseserverkrav. Databaseserveren må være plassert i det sikre datasenteret med de virtuelle vertene. |
| 5 |
For rask katastrofegjenoppretting konfigurerer du et sikkerhetskopieringsmiljø i et annet datasenter. Sikkerhetskopieringsmiljøet gjenspeiler produksjonsmiljøet til VM-er og en sikkerhetskopidatabaseserver. Hvis for eksempel produksjonen har 3 VM-er som kjører HDS-noder, skal sikkerhetskopieringsmiljøet ha 3 VM-er. |
| 6 |
Sett opp en syslog-vert for å samle inn logger fra nodene i klyngen. Samle nettverksadressen og syslog-porten (standard er UDP 514). |
| 7 |
Opprett en sikker sikkerhetskopieringspolicy for nodene for hybriddatasikkerhet, databaseserveren og syslog-verten. For å forhindre ugjenopprettelig tap av data må du som minimum sikkerhetskopiere databasen og konfigurasjonsfilen som genereres for nodene for hybriddatasikkerhet. Fordi nodene for hybriddatasikkerhet lagrer nøklene som brukes til kryptering og dekryptering av innhold, vil manglende vedlikehold av en operativ distribusjon føre til UGJENOPPRETTELIG TAP av dette innholdet. Webex-appklienter bufrer nøklene sine, så det kan hende at et driftsbrudd ikke er umiddelbart merkbart, men vil bli tydelig over tid. Selv om midlertidige avbrudd er umulig å forhindre, kan de gjenopprettes. Fullstendig tap (ingen sikkerhetskopieringer tilgjengelig) av enten databasen eller konfigurasjons-ISO-filen vil imidlertid føre til ugjenopprettbare kundedata. Operatørene av nodene for hybriddatasikkerhet forventes å opprettholde hyppige sikkerhetskopieringer av databasen og konfigurasjonsfilen, og være forberedt på å gjenoppbygge datasenteret for hybriddatasikkerhet hvis det oppstår en katastrofal feil. |
| 8 |
Kontroller at brannmurkonfigurasjonen tillater tilkobling for hybriddatasikkerhetsnodene som beskrevet i Krav til ekstern tilkobling. |
| 9 |
Installer Docker ( https://www.docker.com) på en hvilken som helst lokal maskin som kjører et støttet operativsystem (Microsoft Windows 10 Professional eller Enterprise 64-biters, eller Mac OSX Yosemite 10.10.3 eller nyere) med en nettleser som har tilgang til det på http://127.0.0.1:8080. Du bruker Docker-forekomsten til å laste ned og kjøre HDS-installasjonsverktøyet, som bygger den lokale konfigurasjonsinformasjonen for alle nodene for hybriddatasikkerhet. Du trenger kanskje en Docker Desktop-lisens. Se Krav til Docker Desktop for mer informasjon. For å installere og kjøre HDS-installasjonsverktøyet må den lokale maskinen ha tilkoblingen beskrevet i Krav til ekstern tilkobling. |
| 10 |
Hvis du integrerer en proxy med hybriddatasikkerhet, må du sørge for at den oppfyller kravene til proxy-serveren. |
Konfigurere en klynge for hybriddatasikkerhet
Oppgaveflyt for distribusjon av hybrid datasikkerhet
| 1 |
Utfør første konfigurasjon og last ned installasjonsfiler Last ned OVA-filen til din lokale maskin for senere bruk. |
| 2 |
Opprette en konfigurasjons-ISO for HDS-verter Bruk HDS-installasjonsverktøyet til å opprette en ISO-konfigurasjonsfil for nodene for hybriddatasikkerhet. |
| 3 |
Opprett en virtuell maskin fra OVA-filen og utfør første konfigurasjon, for eksempel nettverksinnstillinger. Alternativet for å konfigurere nettverksinnstillinger under OVA-distribusjon er testet med ESXi 7.0. Alternativet er kanskje ikke tilgjengelig i tidligere versjoner. |
| 4 |
Konfigurere VM for hybriddatasikkerhet Logg på VM-konsollen og angi påloggingslegitimasjonen. Konfigurer nettverksinnstillingene for noden hvis du ikke konfigurerte dem da OVA ble distribuert. |
| 5 |
Laste opp og montere konfigurasjons-ISO for HDS Konfigurer VM fra ISO-konfigurasjonsfilen du opprettet med HDS-installasjonsverktøyet. |
| 6 |
Konfigurere HDS-noden for proxy-integrering Hvis nettverksmiljøet krever proxy-konfigurasjon, angir du hvilken type proxy du vil bruke for noden, og legger til proxy-sertifikatet i klareringslageret om nødvendig. |
| 7 |
Registrer den første noden i klyngen Registrer VM med Cisco Webex-skyen som en hybrid datasikkerhetsnode. |
| 8 |
Opprett og registrer flere noder Fullfør klyngeoppsettet. |
| 9 |
Aktiver HDS for flere leietakere på Partner Hub. Aktiver HDS og administrer leierorganisasjoner på Partner Hub. |
Utfør første konfigurasjon og last ned installasjonsfiler
I denne oppgaven laster du ned en OVA-fil til maskinen din (ikke til serverne du konfigurerer som Hybrid Data Security-noder). Du bruker denne filen senere i installasjonsprosessen.
| 1 |
Logg på Partner Hub, og klikk deretter på Tjenester. |
| 2 |
Finn kortet for hybriddatasikkerhet under Skytjenester, og klikk deretter på Konfigurer. Å klikke på Konfigurer i Partner Hub er avgjørende for distribusjonsprosessen. Ikke fortsett med installasjonen uten å fullføre dette trinnet. |
| 3 |
Klikk på Legg til en ressurs , og klikk på Last ned .OVA-fil på kortet Installer og konfigurer programvare . Eldre versjoner av programvarepakken (OVA) vil ikke være kompatible med de nyeste oppgraderingene for hybriddatasikkerhet. Dette kan føre til problemer under oppgradering av programmet. Sørg for at du laster ned den nyeste versjonen av OVA-filen. Du kan også laste ned OVA når som helst fra Hjelp -delen. Klikk på . OVA-filen begynner automatisk å lastes ned. Lagre filen på en plassering på maskinen.
|
| 4 |
Du kan eventuelt klikke på Se distribusjonsveiledning for hybriddatasikkerhet for å sjekke om det finnes en senere versjon av denne veiledningen. |
Opprette en konfigurasjons-ISO for HDS-verter
Installasjonsprosessen for hybriddatasikkerhet oppretter en ISO-fil. Deretter bruker du ISO til å konfigurere verten for hybriddatasikkerhet.
Før du begynner
-
HDS-installasjonsverktøyet kjører som en Docker-beholder på en lokal maskin. Kjør Docker på maskinen for å få tilgang til den. Installasjonsprosessen krever legitimasjonen til en Partner Hub-konto med fulle administratorrettigheter.
Hvis HDS-installasjonsverktøyet kjører bak en proxy i miljøet ditt, må du oppgi proxy-innstillingene (server, port, legitimasjon) gjennom Docker-miljøvariablene når du tar opp Docker-beholderen i trinn 5 nedenfor. Denne tabellen viser noen mulige miljøvariabler:
Beskrivelse
Variabel
HTTP-proxy uten autentisering
GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORTHTTPS-proxy uten autentisering
GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORTHTTP-proxy med autentisering
GLOBAL_AGENT_HTTP_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORTHTTPS-proxy med autentisering
GLOBAL_AGENT_HTTPS_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT -
ISO-konfigurasjonsfilen du genererer, inneholder hovednøkkelen som krypterer PostgreSQL- eller Microsoft SQL Server-databasen. Du trenger den nyeste kopien av denne filen hver gang du gjør konfigurasjonsendringer, for eksempel disse:
-
Databaselegitimasjon
-
Sertifikatoppdateringer
-
Endringer i godkjenningspolicyen
-
-
Hvis du planlegger å kryptere databasetilkoblinger, konfigurerer du distribusjonen av PostgreSQL eller SQL Server for TLS.
| 1 |
På maskinens kommandolinje angir du riktig kommando for miljøet: I vanlige miljøer: I FedRAMP-miljøer: Dette trinnet rydder opp tidligere HDS-installasjonsverktøy bilder. Hvis det ikke finnes noen tidligere bilder, returnerer det en feil som du kan ignorere. | ||||||||||
| 2 |
Skriv inn følgende for å logge på Docker-bilderegisteret: | ||||||||||
| 3 |
Skriv inn denne hashen når du blir bedt om passord: | ||||||||||
| 4 |
Last ned det nyeste stabile bildet for miljøet ditt: I vanlige miljøer: I FedRAMP-miljøer: | ||||||||||
| 5 |
Når trekket er fullført, skriver du inn riktig kommando for ditt miljø:
Når containeren kjører, ser du "Express server lytter på port 8080." | ||||||||||
| 6 |
Installasjonsverktøyet støtter ikke tilkobling til localhost via http://localhost:8080. Bruk http://127.0.0.1:8080 for å koble til localhost. Bruk en nettleser til å gå til localhost, Verktøyet bruker denne første oppføringen av brukernavnet til å angi riktig miljø for kontoen. Verktøyet viser deretter standard påloggingsmelding. | ||||||||||
| 7 |
Når du blir bedt om det, skriver du inn påloggingslegitimasjonen for Partner Hub-administrator, og klikker deretter på Logg på for å gi tilgang til de nødvendige tjenestene for hybriddatasikkerhet. | ||||||||||
| 8 |
Klikk på Kom i gang på oversiktssiden for oppsettsverktøyet. | ||||||||||
| 9 |
På siden ISO-import har du disse alternativene:
| ||||||||||
| 10 |
Kontroller at X.509-sertifikatet oppfyller kravene i X.509-sertifikatkrav.
| ||||||||||
| 11 |
Skriv inn databaseadressen og kontoen for HDS for å få tilgang til nøkkeldatalageret: | ||||||||||
| 12 |
Velg en TLS-databasetilkoblingsmodus:
Når du laster opp rotsertifikatet (om nødvendig) og klikker på Fortsett, tester HDS-installasjonsverktøyet TLS-tilkoblingen til databaseserveren. Verktøyet bekrefter også sertifikatsigneringen og vertsnavnet, hvis aktuelt. Hvis en test mislykkes, viser verktøyet en feilmelding som beskriver problemet. Du kan velge om du vil ignorere feilen og fortsette med oppsettet. (På grunn av tilkoblingsforskjeller kan HDS-nodene være i stand til å etablere TLS-tilkoblingen selv om HDS-installasjonsverktøyet ikke kan teste den.) | ||||||||||
| 13 |
På siden Systemlogger konfigurerer du Syslogd-serveren: | ||||||||||
| 14 |
(Valgfritt) Du kan endre standardverdien for noen parametere for databasetilkobling i Avanserte innstillinger. Generelt er denne parameteren den eneste du kanskje vil endre: | ||||||||||
| 15 |
Klikk på Fortsett på skjermen Tilbakestill passord for tjenestekontoer . Passord for tjenestekontoen har en levetid på ni måneder. Bruk dette skjermbildet når passordene nærmer seg utløpsdatoen, eller du vil tilbakestille dem til å ugyldiggjøre tidligere ISO-filer. | ||||||||||
| 16 |
Klikk på Last ned ISO-fil. Lagre filen på et sted som er lett å finne. | ||||||||||
| 17 |
Ta en sikkerhetskopi av ISO-filen på ditt lokale system. Behold sikkerhetskopien sikker. Denne filen inneholder en hovedkrypteringsnøkkel for databaseinnholdet. Begrens tilgangen til bare de hybriddatasikkerhetsadministratorene som skal foreta konfigurasjonsendringer. | ||||||||||
| 18 |
Hvis du vil slå av installasjonsverktøyet, skriver du inn |
Hva du skal gjøre nå
Sikkerhetskopier ISO-konfigurasjonsfilen. Du trenger den for å opprette flere noder for gjenoppretting, eller for å gjøre konfigurasjonsendringer. Hvis du mister alle kopier av ISO-filen, har du også mistet hovednøkkelen. Det er ikke mulig å gjenopprette nøklene fra PostgreSQL- eller Microsoft SQL Server-databasen.
Vi har aldri en kopi av denne nøkkelen og kan ikke hjelpe hvis du mister den.
Installere HDS Host OVA
| 1 |
Bruk VMware vSphere-klienten på datamaskinen for å logge på den virtuelle ESXi-verten. |
| 2 |
Velg Fil > Distribuer OVF-mal. |
| 3 |
I veiviseren angir du plasseringen til OVA-filen du lastet ned tidligere, og klikker deretter på Neste. |
| 4 |
På siden Velg et navn og mappe skriver du inn et Virtuelt maskinnavn for noden (for eksempel «HDS_Node_1»), velger et sted der den virtuelle maskinnodedistribusjonen kan ligge, og klikker deretter på Neste. |
| 5 |
På siden Velg en beregningsressurs velger du destinasjonsberegningsressursen, og klikker deretter på Neste. En valideringskontroll kjører. Når den er ferdig, vises maldetaljene. |
| 6 |
Bekreft maldetaljene, og klikk deretter på Neste. |
| 7 |
Hvis du blir bedt om å velge ressurskonfigurasjonen på Konfigurasjon -siden, klikker du på 4 CPU og klikker deretter på Neste. |
| 8 |
På siden Velg lagring klikker du på Neste for å godta standard diskformat og retningslinjer for lagring av VM. |
| 9 |
På siden Velg nettverk velger du nettverksalternativet fra listen over oppføringer for å gi ønsket tilkobling til VM-en. |
| 10 |
Konfigurer følgende nettverksinnstillinger på siden Tilpass mal :
Hvis du vil, kan du hoppe over konfigurasjonen av nettverksinnstillingene og følge trinnene i Konfigurere VM for hybriddatasikkerhet for å konfigurere innstillingene fra nodekonsollen. Alternativet for å konfigurere nettverksinnstillinger under OVA-distribusjon er testet med ESXi 7.0. Alternativet er kanskje ikke tilgjengelig i tidligere versjoner. |
| 11 |
Høyreklikk på noden VM, og velg deretter . Programvaren for hybrid datasikkerhet installeres som gjest på VM-verten. Du er nå klar til å logge på konsollen og konfigurere noden. Feilsøkingstips Du kan oppleve en forsinkelse på noen minutter før nodebeholderne kommer opp. Det vises en brobrannmurmelding på konsollen under første oppstart, hvor du ikke kan logge på. |
Konfigurere VM for hybriddatasikkerhet
Bruk denne fremgangsmåten til å logge på VM-konsollen for hybriddatasikkerhetsnoden for første gang og angi påloggingslegitimasjonen. Du kan også bruke konsollen til å konfigurere nettverksinnstillingene for noden hvis du ikke konfigurerte dem da OVA ble distribuert.
| 1 |
I VMware vSphere-klienten velger du den hybride datasikkerhetsnoden VM og velger fanen Konsoll . VM starter opp og en melding om pålogging vises. Hvis meldingen om pålogging ikke vises, trykker du på Enter.
|
| 2 |
Bruk følgende standard pålogging og passord for å logge på og endre legitimasjonen: Siden du logger på VM for første gang, må du endre administratorpassordet. |
| 3 |
Hvis du allerede har konfigurert nettverksinnstillingene i Installer HDS Host OVA, hopper du over resten av denne prosedyren. Hvis ikke, velger du alternativet Rediger konfigurasjon i hovedmenyen. |
| 4 |
Konfigurer en statisk konfigurasjon med IP-adresse, maske, gateway og DNS-informasjon. Noden din skal ha en intern IP-adresse og et DNS-navn. DHCP støttes ikke. |
| 5 |
(Valgfritt) Endre vertsnavnet, domenet eller NTP-serveren(e) om nødvendig for å samsvare med nettverkspolicyen. Du trenger ikke å angi domenet til å samsvare med domenet du brukte til å skaffe X.509-sertifikatet. |
| 6 |
Lagre nettverkskonfigurasjonen og start VM på nytt slik at endringene trer i kraft. |
Laste opp og montere konfigurasjons-ISO for HDS
Før du begynner
Fordi ISO-filen innehar hovednøkkelen, bør den bare eksponeres på "trenger å vite"-basis, for tilgang for virtuelle maskiner for hybriddatasikkerhet og eventuelle administratorer som må gjøre endringer. Sørg for at bare disse administratorene har tilgang til datalageret.
| 1 |
Last opp ISO-filen fra datamaskinen: |
| 2 |
Montere ISO-fil: |
Hva du skal gjøre nå
Hvis IT-policyen krever det, kan du eventuelt avmontere ISO-filen etter at alle nodene har plukket opp konfigurasjonsendringene. Se (Valgfritt) Avmonter ISO etter HDS-konfigurasjon for detaljer.
Konfigurere HDS-noden for proxy-integrering
Hvis nettverksmiljøet krever en proxy, bruker du denne fremgangsmåten til å angi hvilken type proxy du vil integrere med hybrid datasikkerhet. Hvis du velger en gjennomsiktig inspeksjons-proxy eller en eksplisitt HTTPS-proxy, kan du bruke nodens grensesnitt til å laste opp og installere rotsertifikatet. Du kan også sjekke proxy-tilkoblingen fra grensesnittet, og feilsøke eventuelle problemer.
Før du begynner
-
Se Proxy-støtte for en oversikt over proxy-alternativene som støttes.
| 1 |
Skriv inn URL-adressen for HDS-nodeoppsett |
| 2 |
Gå til Klareringslager og proxy, og velg deretter et alternativ:
Følg de neste trinnene for en gjennomsiktig inspeksjons-proxy, en eksplisitt HTTP-proxy med grunnleggende godkjenning eller en eksplisitt HTTPS-proxy. |
| 3 |
Klikk på Last opp et rotsertifikat eller sluttenhetssertifikat, og gå deretter til å velge rotsertifikatet for proxyen. Sertifikatet er lastet opp, men er ennå ikke installert fordi du må starte noden på nytt for å installere sertifikatet. Klikk på chevron-pilen ved navnet på sertifikatutstederen for å få mer informasjon, eller klikk på Slett hvis du har gjort en feil og vil laste opp filen på nytt. |
| 4 |
Klikk på Kontroller proxy-tilkobling for å teste nettverkstilkoblingen mellom noden og proxyen. Hvis tilkoblingstesten mislykkes, får du en feilmelding som viser årsaken og hvordan du kan løse problemet. Hvis du ser en melding om at den eksterne DNS-oppløsningen ikke var vellykket, kunne ikke noden nå DNS-serveren. Denne tilstanden forventes i mange eksplisitte proxy-konfigurasjoner. Du kan fortsette med oppsettet, og noden vil fungere i modus for blokkert ekstern DNS-oppløsning. Hvis du tror dette er en feil, fullfører du disse trinnene og ser Slå av blokkert ekstern DNS-oppløsningsmodus. |
| 5 |
Etter at tilkoblingstesten er bestått, bare for eksplisitt proxy satt til https, slår du veksleknappen til Rute alle port 443/444 https-forespørsler fra denne noden gjennom den eksplisitte proxyen. Denne innstillingen tar 15 sekunder før den trer i kraft. |
| 6 |
Klikk på Installer alle sertifikater i klareringslageret (vises for en eksplisitt HTTPS-proxy eller en gjennomsiktig inspeksjons-proxy) eller Start på nytt (vises for en eksplisitt HTTP-proxy), les ledeteksten og klikk deretter på Installer hvis du er klar. Noden starter på nytt innen noen få minutter. |
| 7 |
Etter at noden har startet på nytt, logger du på igjen om nødvendig og åpner deretter Oversikt -siden for å sjekke tilkoblingskontrollene for å sikre at alle er i grønn status. Proxy-tilkoblingskontrollen tester bare et underdomene av webex.com. Hvis det er tilkoblingsproblemer, er et vanlig problem at noen av skydomenene som er oppført i installasjonsinstruksjonene, blokkeres ved proxyen. |
Registrer den første noden i klyngen
Når du registrerer din første node, oppretter du en klynge som noden er tilordnet til. En klynge inneholder én eller flere noder som er distribuert for å gi redundans.
Før du begynner
-
Når du begynner å registrere en node, må du fullføre den innen 60 minutter, eller du må starte på nytt.
-
Sørg for at eventuelle popup-blokkere i nettleseren er deaktivert, eller at du tillater et unntak for admin.webex.com.
| 1 |
Logg på https://admin.webex.com. |
| 2 |
Velg Tjenester fra menyen til venstre på skjermen. |
| 3 |
I delen Skytjenester finner du kortet for hybriddatasikkerhet og klikker på Konfigurer. |
| 4 |
Klikk på Legg til en ressurs på siden som åpnes. |
| 5 |
I det første feltet i Legg til en node -kortet skriver du inn et navn på klyngen du vil tilordne hybriddatasikkerhetsnoden til. Vi anbefaler at du navngir en klynge basert på hvor nodene i klyngen befinner seg geografisk. Eksempler: "San Francisco" eller "New York" eller "Dallas" |
| 6 |
I det andre feltet skriver du inn den interne IP-adressen eller det fullstendige domenenavnet (FQDN) til noden og klikker på Legg til nederst på skjermen. Denne IP-adressen eller FQDN skal samsvare med IP-adressen eller vertsnavnet og domenet du brukte i Konfigurere VM for hybriddatasikkerhet. Det vises en melding som angir at du kan registrere noden din til Webex.
|
| 7 |
Klikk på Gå til node. Etter et øyeblikk blir du omdirigert til nodetilkoblingstestene for Webex-tjenester. Hvis alle testene er vellykkede, vises siden Gi tilgang til hybrid datasikkerhetsnode. Der bekrefter du at du vil gi tillatelse til Webex-organisasjonen din for å få tilgang til noden din. |
| 8 |
Merk av i avkrysningsboksen Gi tilgang til din hybride datasikkerhetsnode , og klikk deretter på Fortsett. Kontoen din er validert, og meldingen «Registreringen er fullført» indikerer at noden din nå er registrert i Webex-skyen.
|
| 9 |
Klikk på koblingen eller lukk fanen for å gå tilbake til Partner Hub Hybrid Data Security-siden. På siden Hybriddatasikkerhet vises den nye klyngen som inneholder noden du registrerte, under Ressurser -fanen. Noden vil automatisk laste ned den nyeste programvaren fra skyen.
|
Opprett og registrer flere noder
Før du begynner
-
Når du begynner å registrere en node, må du fullføre den innen 60 minutter, eller du må starte på nytt.
-
Sørg for at eventuelle popup-blokkere i nettleseren er deaktivert, eller at du tillater et unntak for admin.webex.com.
| 1 |
Opprett en ny virtuell maskin fra OVA, og gjenta trinnene i Installer HDS Host OVA. |
| 2 |
Konfigurer den første konfigurasjonen på den nye VM-en, og gjenta trinnene i Konfigurer VM for hybriddatasikkerhet. |
| 3 |
På den nye VM gjentar du trinnene i Last opp og monter HDS-konfigurasjons-ISO. |
| 4 |
Hvis du konfigurerer en proxy for distribusjonen, gjentar du trinnene i Konfigurer HDS-noden for proxy-integrasjon etter behov for den nye noden. |
| 5 |
Registrer noden. |
Administrere leietakerorganisasjoner for hybriddatasikkerhet for flere leietakere
Aktivere HDS for flere leietakere på Partner Hub
Denne oppgaven sikrer at alle brukere av kundeorganisasjonene kan begynne å bruke HDS for lokale krypteringsnøkler og andre sikkerhetstjenester.
Før du begynner
Sørg for at du har fullført konfigureringen av HDS-klyngen for flere leietakere med det nødvendige antallet noder.
| 1 |
Logg på https://admin.webex.com. |
| 2 |
Velg Tjenester fra menyen til venstre på skjermen. |
| 3 |
I delen Skytjenester finner du hybriddatasikkerhet og klikker på Rediger innstillinger. |
| 4 |
Klikk på Aktiver HDS på kortet HDS-status . |
Legg til leietakerorganisasjoner i Partner Hub
I denne oppgaven tilordner du kundeorganisasjoner til din hybride datasikkerhetsklynge.
| 1 |
Logg på https://admin.webex.com. |
| 2 |
Velg Tjenester fra menyen til venstre på skjermen. |
| 3 |
Finn hybriddatasikkerhet under Skytjenester, og klikk på Vis alle. |
| 4 |
Klikk på klyngen du vil at en kunde skal tilordnes til. |
| 5 |
Gå til fanen Tilordnede kunder . |
| 6 |
Klikk på Legg til kunder. |
| 7 |
Velg kunden du vil legge til, fra rullegardinmenyen. |
| 8 |
Klikk på Legg til, kunden blir lagt til i klyngen. |
| 9 |
Gjenta trinn 6 til 8 for å legge til flere kunder i klyngen. |
| 10 |
Klikk på Ferdig nederst på skjermen når du har lagt til kundene. |
Hva du skal gjøre nå
Opprett kundens hovednøkler (CMK-er) ved hjelp av HDS-installasjonsverktøyet
Før du begynner
Tilordne kunder til riktig klynge som beskrevet i Legg til leietakerorganisasjoner i Partner Hub. Kjør HDS-installasjonsverktøyet for å fullføre installasjonsprosessen for de nylig tillagte kundeorganisasjonene.
-
HDS-installasjonsverktøyet kjører som en Docker-beholder på en lokal maskin. Kjør Docker på maskinen for å få tilgang til den. Installasjonsprosessen krever legitimasjon for en Partner Hub-konto med fulle administratorrettigheter for organisasjonen din.
Hvis HDS-installasjonsverktøyet kjører bak en proxy i miljøet ditt, må du oppgi proxy-innstillingene (server, port, legitimasjon) gjennom Docker-miljøvariablene når du tar opp Docker-beholderen i trinn 5. Denne tabellen viser noen mulige miljøvariabler:
Beskrivelse
Variabel
HTTP-proxy uten autentisering
GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORTHTTPS-proxy uten autentisering
GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORTHTTP-proxy med autentisering
GLOBAL_AGENT_HTTP_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORTHTTPS-proxy med autentisering
GLOBAL_AGENT_HTTPS_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT -
ISO-konfigurasjonsfilen du genererer, inneholder hovednøkkelen som krypterer PostgreSQL- eller Microsoft SQL Server-databasen. Du trenger den nyeste kopien av denne filen hver gang du gjør konfigurasjonsendringer, for eksempel disse:
-
Databaselegitimasjon
-
Sertifikatoppdateringer
-
Endringer i godkjenningspolicyen
-
-
Hvis du planlegger å kryptere databasetilkoblinger, konfigurerer du distribusjonen av PostgreSQL eller SQL Server for TLS.
Installasjonsprosessen for hybriddatasikkerhet oppretter en ISO-fil. Deretter bruker du ISO til å konfigurere verten for hybriddatasikkerhet.
| 1 |
På maskinens kommandolinje angir du riktig kommando for miljøet: I vanlige miljøer: I FedRAMP-miljøer: Dette trinnet rydder opp tidligere HDS-installasjonsverktøy bilder. Hvis det ikke finnes noen tidligere bilder, returnerer det en feil som du kan ignorere. |
| 2 |
Skriv inn følgende for å logge på Docker-bilderegisteret: |
| 3 |
Skriv inn denne hashen når du blir bedt om passord: |
| 4 |
Last ned det nyeste stabile bildet for miljøet ditt: I vanlige miljøer: I FedRAMP-miljøer: |
| 5 |
Når trekket er fullført, skriver du inn riktig kommando for ditt miljø:
Når containeren kjører, ser du "Express server lytter på port 8080." |
| 6 |
Installasjonsverktøyet støtter ikke tilkobling til localhost via http://localhost:8080. Bruk http://127.0.0.1:8080 for å koble til localhost. Bruk en nettleser til å gå til localhost, Verktøyet bruker denne første oppføringen av brukernavnet til å angi riktig miljø for kontoen. Verktøyet viser deretter standard påloggingsmelding. |
| 7 |
Når du blir bedt om det, skriver du inn påloggingslegitimasjonen for Partner Hub-administrator, og klikker deretter på Logg på for å gi tilgang til de nødvendige tjenestene for hybriddatasikkerhet. |
| 8 |
Klikk på Kom i gang på oversiktssiden for oppsettsverktøyet. |
| 9 |
Klikk på Ja på siden ISO-import. |
| 10 |
Velg ISO-filen i nettleseren og last den opp. Sørg for tilkobling til databasen din for å utføre CMK-administrasjon. |
| 11 |
Gå til fanen Leietakers CMK-administrasjon , der du finner følgende tre måter å administrere leietakers CMK-er på.
|
| 12 |
Når CMK opprettes, endres statusen i tabellen fra CMK-administrasjon venter til CMK-administrert. |
| 13 |
Hvis opprettelsen av CMK mislykkes, vises en feilmelding. |
Fjern leietakerorganisasjoner
Før du begynner
Når de er fjernet, vil ikke brukere av kundeorganisasjoner kunne utnytte HDS for sine krypteringsbehov og vil miste alle eksisterende områder. Før du fjerner kundeorganisasjoner, må du kontakte din Cisco-partner eller kontoadministrator.
| 1 |
Logg på https://admin.webex.com. |
| 2 |
Velg Tjenester fra menyen til venstre på skjermen. |
| 3 |
Finn hybriddatasikkerhet under Skytjenester, og klikk på Vis alle. |
| 4 |
I fanen Ressurser klikker du på klyngen du vil fjerne kundeorganisasjoner fra. |
| 5 |
Klikk på Tilordnede kunder på siden som åpnes. |
| 6 |
Fra listen over kundeorganisasjoner som vises, klikker du på til høyre for kundeorganisasjonen du vil fjerne, og klikker på Fjern fra klynge. |
Hva du skal gjøre nå
Fullfør fjerningsprosessen ved å tilbakekalle kundeorganisasjonens CMK-er, som beskrevet i Tilbakekall CMK-er for leiere som er fjernet fra HDS.
Tilbakekall CMK-er for leiere som er fjernet fra HDS.
Før du begynner
Fjern kunder fra den aktuelle klyngen som beskrevet i Fjern leietakerorganisasjoner. Kjør HDS-installasjonsverktøyet for å fullføre fjerningsprosessen for kundeorganisasjonene som ble fjernet.
-
HDS-installasjonsverktøyet kjører som en Docker-beholder på en lokal maskin. Kjør Docker på maskinen for å få tilgang til den. Installasjonsprosessen krever legitimasjon for en Partner Hub-konto med fulle administratorrettigheter for organisasjonen din.
Hvis HDS-installasjonsverktøyet kjører bak en proxy i miljøet ditt, må du oppgi proxy-innstillingene (server, port, legitimasjon) gjennom Docker-miljøvariablene når du tar opp Docker-beholderen i trinn 5. Denne tabellen viser noen mulige miljøvariabler:
Beskrivelse
Variabel
HTTP-proxy uten autentisering
GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORTHTTPS-proxy uten autentisering
GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORTHTTP-proxy med autentisering
GLOBAL_AGENT_HTTP_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORTHTTPS-proxy med autentisering
GLOBAL_AGENT_HTTPS_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT -
ISO-konfigurasjonsfilen du genererer, inneholder hovednøkkelen som krypterer PostgreSQL- eller Microsoft SQL Server-databasen. Du trenger den nyeste kopien av denne filen hver gang du gjør konfigurasjonsendringer, for eksempel disse:
-
Databaselegitimasjon
-
Sertifikatoppdateringer
-
Endringer i godkjenningspolicyen
-
-
Hvis du planlegger å kryptere databasetilkoblinger, konfigurerer du distribusjonen av PostgreSQL eller SQL Server for TLS.
Installasjonsprosessen for hybriddatasikkerhet oppretter en ISO-fil. Deretter bruker du ISO til å konfigurere verten for hybriddatasikkerhet.
| 1 |
På maskinens kommandolinje angir du riktig kommando for miljøet: I vanlige miljøer: I FedRAMP-miljøer: Dette trinnet rydder opp tidligere HDS-installasjonsverktøy bilder. Hvis det ikke finnes noen tidligere bilder, returnerer det en feil som du kan ignorere. |
| 2 |
Skriv inn følgende for å logge på Docker-bilderegisteret: |
| 3 |
Skriv inn denne hashen når du blir bedt om passord: |
| 4 |
Last ned det nyeste stabile bildet for miljøet ditt: I vanlige miljøer: I FedRAMP-miljøer: |
| 5 |
Når trekket er fullført, skriver du inn riktig kommando for ditt miljø:
Når containeren kjører, ser du "Express server lytter på port 8080." |
| 6 |
Installasjonsverktøyet støtter ikke tilkobling til localhost via http://localhost:8080. Bruk http://127.0.0.1:8080 for å koble til localhost. Bruk en nettleser til å gå til localhost, Verktøyet bruker denne første oppføringen av brukernavnet til å angi riktig miljø for kontoen. Verktøyet viser deretter standard påloggingsmelding. |
| 7 |
Når du blir bedt om det, skriver du inn påloggingslegitimasjonen for Partner Hub-administrator, og klikker deretter på Logg på for å gi tilgang til de nødvendige tjenestene for hybriddatasikkerhet. |
| 8 |
Klikk på Kom i gang på oversiktssiden for oppsettsverktøyet. |
| 9 |
Klikk på Ja på siden ISO-import. |
| 10 |
Velg ISO-filen i nettleseren og last den opp. |
| 11 |
Gå til fanen Leietakers CMK-administrasjon , der du finner følgende tre måter å administrere leietakers CMK-er på.
|
| 12 |
Når CMK-opphevelse er fullført, vises ikke kundeorganisasjonen lenger i tabellen. |
| 13 |
Hvis CMK-tilbakekalling mislykkes, vises en feil. |
Test distribusjonen av hybrid datasikkerhet
Test distribusjonen av hybrid datasikkerhet
Før du begynner
-
Konfigurer distribusjonen av hybriddatasikkerhet for flere leietakere.
-
Sørg for at du har tilgang til syslog for å bekrefte at viktige forespørsler sendes til din distribusjon av hybriddatasikkerhet for flere leietakere.
| 1 |
Nøkler for et gitt område angis av skaperen av området. Logg på Webex-appen som en av brukerne av kundeorganisasjonen, og opprett deretter et område. Hvis du deaktiverer distribusjonen av hybriddatasikkerhet, er ikke innhold i områder som brukere oppretter, lenger tilgjengelig når de klientbufrede kopiene av krypteringsnøklene er erstattet. |
| 2 |
Send meldinger til det nye området. |
| 3 |
Kontroller syslog-utdataene for å bekrefte at nøkkelforespørslene sendes til distribusjonen av hybriddatasikkerhet. |
Overvåk sikkerhets helse for hybriddata
| 1 |
I Partner Hub velger du Tjenester fra menyen til venstre på skjermen. |
| 2 |
I delen Skytjenester finner du hybriddatasikkerhet og klikker på Rediger innstillinger. Siden Innstillinger for hybriddatasikkerhet vises.
|
| 3 |
Skriv inn én eller flere e-postadresser atskilt med komma i delen E-postvarsler, og trykk på Enter. |
Administrer HDS-distribusjonen din
Administrer HDS-distribusjon
Bruk oppgavene som er beskrevet her for å administrere distribusjonen av hybriddatasikkerhet.
Angi tidsplan for klyngeoppgradering
Slik angir du oppgraderingsplanen:
| 1 |
Logg på Partner Hub. |
| 2 |
Velg Tjenester fra menyen til venstre på skjermen. |
| 3 |
I delen Skytjenester finner du hybriddatasikkerhet og klikker på Konfigurer |
| 4 |
Velg klyngen på siden Hybrid Data Security Resources. |
| 5 |
Klikk på fanen Klyngeinnstillinger . |
| 6 |
Velg klokkeslett og tidssone for oppgraderingsplanen på siden Klyngeinnstillinger under Oppgraderingsplan. Merk: Under tidssonen vises neste tilgjengelige oppgraderingsdato og -klokkeslett. Du kan utsette oppgraderingen til neste dag ved å klikke på Utsett med 24 timer. |
Endre nodekonfigurasjonen
-
Endring av x.509-sertifikater på grunn av utløp eller andre årsaker.
Vi støtter ikke endring av CN-domenenavnet for et sertifikat. Domenet må samsvare med det opprinnelige domenet som ble brukt til å registrere klyngen.
-
Oppdaterer databaseinnstillinger for å endre til en kopi av PostgreSQL- eller Microsoft SQL Server-databasen.
Vi støtter ikke overføring av data fra PostgreSQL til Microsoft SQL Server, eller motsatt måte. Start en ny distribusjon av hybriddatasikkerhet for å bytte databasemiljøet.
-
Opprette en ny konfigurasjon for å klargjøre et nytt datasenter.
Av sikkerhetshensyn bruker Hybrid Data Security også passord for tjenestekontoer som har en levetid på ni måneder. Når HDS-installasjonsverktøyet har generert disse passordene, distribuerer du dem til hver av HDS-nodene i ISO-konfigurasjonsfilen. Når organisasjonens passord nærmer seg utløpsdato, mottar du et varsel fra Webex-teamet om å tilbakestille passordet for maskinkontoen din. (E-posten inneholder teksten "Bruk maskinkontoens API til å oppdatere passordet.") Hvis passordene dine ikke er utløpt ennå, gir verktøyet deg to alternativer:
-
Myk tilbakestilling– De gamle og de nye passordene fungerer begge i opptil 10 dager. Bruk denne perioden til å erstatte ISO-filen på nodene gradvis.
-
Hard tilbakestilling – De gamle passordene slutter å fungere umiddelbart.
Hvis passordene utløper uten tilbakestilling, påvirker det HDS-tjenesten din, noe som krever en umiddelbar hard tilbakestilling og erstatning av ISO-filen på alle noder.
Bruk denne fremgangsmåten til å generere en ny ISO-konfigurasjonsfil og bruke den på klyngen.
Før du begynner
-
HDS-installasjonsverktøyet kjører som en Docker-beholder på en lokal maskin. Kjør Docker på maskinen for å få tilgang til den. Installasjonsprosessen krever legitimasjon for en Partner Hub-konto med fullstendige partneradministratorrettigheter.
Hvis HDS-installasjonsverktøyet kjører bak en proxy i miljøet ditt, må du oppgi proxy-innstillingene (server, port, legitimasjon) gjennom Docker-miljøvariablene når du tar opp Docker-beholderen i 1.e. Denne tabellen viser noen mulige miljøvariabler:
Beskrivelse
Variabel
HTTP-proxy uten autentisering
GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORTHTTPS-proxy uten autentisering
GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORTHTTP-proxy med autentisering
GLOBAL_AGENT_HTTP_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORTHTTPS-proxy med autentisering
GLOBAL_AGENT_HTTPS_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT -
Du trenger en kopi av den gjeldende ISO-konfigurasjonsfilen for å generere en ny konfigurasjon. ISO inneholder hovednøkkelen som krypterer PostgreSQL- eller Microsoft SQL Server-databasen. Du trenger ISO når du gjør konfigurasjonsendringer, inkludert databaselegitimasjon, sertifikatoppdateringer eller endringer i godkjenningspolicyen.
| 1 |
Kjør HDS-installasjonsverktøyet ved hjelp av Docker på en lokal maskin. |
| 2 |
Hvis du bare kjører én HDS-node, oppretter du en ny hybrid datasikkerhetsnode VM og registrerer den ved hjelp av den nye ISO-konfigurasjonsfilen. Hvis du vil ha mer detaljerte instruksjoner, kan du se Opprette og registrere flere noder. |
| 3 |
Montere ISO-filen for eksisterende HDS-noder som kjører den eldre konfigurasjonsfilen. Utfør følgende prosedyre på hver node igjen, og oppdater hver node før du slår av neste node: |
| 4 |
Gjenta trinn 3 for å erstatte konfigurasjonen på hver gjenværende node som kjører den gamle konfigurasjonen. |
Slå av blokkert ekstern DNS-oppløsningsmodus
Når du registrerer en node eller sjekker nodens proxy-konfigurasjon, tester prosessen DNS-oppslag og tilkobling til Cisco Webex-skyen. Hvis nodens DNS-server ikke kan løse offentlige DNS-navn, går noden automatisk inn i modus for blokkert ekstern DNS-oppløsning.
Hvis nodene dine kan løse offentlige DNS-navn gjennom interne DNS-servere, kan du slå av denne modusen ved å kjøre proxy-tilkoblingstesten på nytt på hver node.
Før du begynner
| 1 |
Åpne nodegrensesnittet for hybriddatasikkerhet i en nettleser (IP-adresse/oppsett, for eksempel https://192.0.2.0/setup), angi administratorlegitimasjonen du har konfigurert for noden, og klikk deretter på Logg på. |
| 2 |
Gå til Oversikt (standardsiden). Når den er aktivert, settes Blokkert ekstern DNS-oppløsning til Ja. |
| 3 |
Gå til siden Klareringslager og proxy . |
| 4 |
Klikk på Kontroller proxy-tilkobling. Hvis du ser en melding om at den eksterne DNS-oppløsningen ikke var vellykket, kunne ikke noden nå DNS-serveren og vil forbli i denne modusen. Hvis ikke, etter at du har startet noden på nytt og gått tilbake til Oversikt -siden, skal Blokkert ekstern DNS-oppløsning settes til Nei. |
Hva du skal gjøre nå
Fjerne en node
| 1 |
Bruk VMware vSphere-klienten på datamaskinen til å logge på den virtuelle ESXi-verten og slå av den virtuelle maskinen. |
| 2 |
Fjern noden: |
| 3 |
Slett VM-en i vSphere-klienten. (Høyreklikk på VM i venstre navigasjonsrute, og klikk på Slett.) Hvis du ikke sletter VM-en, må du huske å avmontere ISO-konfigurasjonsfilen. Uten ISO-filen kan du ikke bruke VM til å få tilgang til sikkerhetsdataene dine. |
Katastrofegjenoppretting ved hjelp av standbydatasenter
Den mest kritiske tjenesten som din hybride datasikkerhetsklynge tilbyr, er oppretting og lagring av nøkler som brukes til å kryptere meldinger og annet innhold som er lagret i Webex-skyen. For hver bruker i organisasjonen som er tilordnet hybriddatasikkerhet, rutes nye forespørsler om nøkkeloppretting til klyngen. Klyngen er også ansvarlig for å returnere nøklene den er opprettet til brukere som er autorisert til å hente dem, for eksempel medlemmer av et samtaleområde.
Fordi klyngen utfører den kritiske funksjonen med å levere disse nøklene, er det viktig at klyngen forblir i drift og at riktige sikkerhetskopier opprettholdes. Tap av hybriddatasikkerhetsdatabasen eller konfigurasjons-ISO som brukes for skjemaet, vil føre til UGJENOPPRETTELIG TAP av kundeinnhold. Følgende fremgangsmåter er obligatoriske for å forhindre et slikt tap:
Hvis en katastrofe fører til at HDS-distribusjonen i det primære datasenteret blir utilgjengelig, følger du denne fremgangsmåten for å manuelt failover til standbydatasenteret.
Før du begynner
| 1 |
Start HDS-installasjonsverktøyet og følg trinnene som er nevnt i Opprett en konfigurasjons-ISO for HDS-verter. |
| 2 |
Fullfør konfigurasjonsprosessen og lagre ISO-filen på et sted som er lett å finne. |
| 3 |
Ta en sikkerhetskopi av ISO-filen på ditt lokale system. Behold sikkerhetskopien sikker. Denne filen inneholder en hovedkrypteringsnøkkel for databaseinnholdet. Begrens tilgangen til bare de hybriddatasikkerhetsadministratorene som skal foreta konfigurasjonsendringer. |
| 4 |
Høyreklikk på VM i venstre navigasjonsrute til VMware vSphere-klienten, og klikk på Rediger innstillinger. |
| 5 |
Klikk på Rediger innstillinger >CD/DVD-stasjon 1 og velg ISO-fil for datalager. Kontroller at Tilkoblet og Koble til ved påslått er merket av slik at oppdaterte konfigurasjonsendringer kan tre i kraft etter at nodene er startet. |
| 6 |
Slå på HDS-noden og sørg for at det ikke er noen alarmer i minst 15 minutter. |
| 7 |
Registrer noden i Partner Hub. Se Registrer den første noden i klyngen. |
| 8 |
Gjenta prosessen for hver node i standbydatasenteret. |
Hva du skal gjøre nå
(Valgfritt) Fjern ISO etter HDS-konfigurasjon
Standard HDS-konfigurasjon kjøres med ISO-montert. Men noen kunder foretrekker ikke å forlate ISO-filer kontinuerlig montert. Du kan avmontere ISO-filen etter at alle HDS-nodene har tatt opp den nye konfigurasjonen.
Du bruker fortsatt ISO-filene til å foreta konfigurasjonsendringer. Når du oppretter en ny ISO eller oppdaterer en ISO gjennom installasjonsverktøyet, må du montere den oppdaterte ISO-en på alle HDS-nodene dine. Når alle nodene har plukket opp konfigurasjonsendringene, kan du avmontere ISO-en igjen med denne fremgangsmåten.
Før du begynner
Oppgrader alle HDS-nodene dine til versjon 2021.01.22.4720 eller nyere.
| 1 |
Slå av en av HDS-nodene dine. |
| 2 |
Velg HDS-noden i vCenter Server Appliance. |
| 3 |
Velg og fjern merket for ISO-fil for datalager. |
| 4 |
Slå på HDS-noden og sørg for at det ikke er noen alarmer i minst 20 minutter. |
| 5 |
Gjenta for hver HDS-node i sin tur. |
Feilsøke hybrid datasikkerhet
Vis varsler og feilsøking
En distribusjon av hybriddatasikkerhet anses som utilgjengelig hvis alle nodene i klyngen ikke er tilgjengelige, eller klyngen fungerer så sakte at forespørslene blir tidsavbrutt. Hvis brukere ikke kan nå din hybride datasikkerhetsklynge, opplever de følgende symptomer:
-
Nye områder kan ikke opprettes (kan ikke opprette nye nøkler)
-
Meldinger og områdetitler kan ikke dekrypteres for:
-
Nye brukere lagt til i et område (kan ikke hente nøkler)
-
Eksisterende brukere i et område som bruker en ny klient (kan ikke hente nøkler)
-
-
Eksisterende brukere i et område vil fortsette å kjøre vellykket så lenge klientene deres har en hurtigbuffer med krypteringsnøklene
Det er viktig at du overvåker den hybride datasikkerhetsklyngen riktig og adresserer eventuelle varsler umiddelbart for å unngå tjenesteavbrudd.
Varsler
Hvis det er et problem med oppsettet av hybriddatasikkerhet, viser Partner Hub varsler til organisasjonens administrator og sender e-post til den konfigurerte e-postadressen. Varslene dekker mange vanlige scenarier.
|
Varsel |
Handling |
|---|---|
|
Feil ved tilgang til lokal database. |
Se etter databasefeil eller lokale nettverksproblemer. |
|
Feil ved lokal databasetilkobling. |
Kontroller at databaseserveren er tilgjengelig, og at riktig tjenestekontolegitimasjon ble brukt i nodekonfigurasjonen. |
|
Feil ved tilgang til skytjeneste. |
Kontroller at nodene har tilgang til Webex-serverne som angitt i Krav til ekstern tilkobling. |
|
Fornye registrering av skytjeneste. |
Registrering til skytjenester ble avbrutt. Fornyelse av registrering pågår. |
|
Registrering av skytjeneste avbrutt. |
Registrering til skytjenester avsluttet. Tjenesten er stengt. |
|
Tjenesten er ikke aktivert ennå. |
Aktiver HDS i Partner Hub. |
|
Konfigurert domene samsvarer ikke med serversertifikatet. |
Kontroller at serversertifikatet samsvarer med det konfigurerte tjenesteaktiveringsdomenet. Den mest sannsynlige årsaken er at sertifikatets CN nylig ble endret og nå er forskjellig fra CN som ble brukt under den første installasjonen. |
|
Kunne ikke autentisere seg til skytjenester. |
Sjekk for nøyaktighet og mulig utløp av legitimasjon for tjenestekontoen. |
|
Kunne ikke åpne lokal nøkkelbutikkfil. |
Kontroller integritet og passordnøyaktighet på den lokale nøkkelbutikkfilen. |
|
Det lokale serversertifikatet er ugyldig. |
Kontroller serversertifikatets utløpsdato og bekreft at det ble utstedt av en klarert sertifiseringsinstans. |
|
Kan ikke legge ut måledata. |
Kontroller lokal nettverkstilgang til eksterne skytjenester. |
|
/media/configdrive/hds-katalog finnes ikke. |
Kontroller konfigurasjonen av ISO-monteringen på virtuell vert. Kontroller at ISO-filen finnes, at den er konfigurert til å monteres ved omstart, og at den monteres. |
|
Oppsett av leietakerorganisasjon er ikke fullført for de tilførte organisasjonene |
Fullfør oppsettet ved å opprette CMK-er for nylig tillagte leietakerorganisasjoner ved hjelp av HDS-installasjonsverktøyet. |
|
Oppsett av leietakerorganisasjon er ikke fullført for fjernede organisasjoner |
Fullfør oppsettet ved å tilbakekalle CMK-er for leietakerorganisasjoner som ble fjernet ved hjelp av HDS-installasjonsverktøyet. |
Feilsøke hybrid datasikkerhet
| 1 |
Se gjennom Partner Hub for eventuelle varsler og fikse eventuelle elementer du finner der. Se bildet nedenfor for referanse. |
| 2 |
Se gjennom syslog-serverens utdata for aktivitet fra distribusjonen av hybriddatasikkerhet. Filtrer etter ord som "Advarsel" og "Feil" for å hjelpe til med feilsøking. |
| 3 |
Kontakt Ciscos kundestøtte. |
Andre merknader
Kjente problemer for hybrid datasikkerhet
-
Hvis du avslutter klyngen for hybriddatasikkerhet (ved å slette den i Partner Hub eller ved å avslutte alle noder), mister konfigurasjons-ISO-filen eller mister tilgangen til nøkkelbutikkdatabasen, kan ikke Webex-appbrukere i kundeorganisasjoner lenger bruke områder under Personer-listen sin som ble opprettet med nøkler fra KMS. Vi har for øyeblikket ingen løsning eller løsning på dette problemet, og vi oppfordrer deg til ikke å avslutte HDS-tjenestene når de håndterer aktive brukerkontoer.
-
En klient som har en eksisterende ECDH-tilkobling til en KMS opprettholder denne tilkoblingen i en tidsperiode (sannsynligvis én time).
Bruk OpenSSL til å generere en PKCS12-fil
Før du begynner
-
OpenSSL er et verktøy som kan brukes til å lage PKCS12-filen i riktig format for lasting i HDS-installasjonsverktøyet. Det finnes andre måter å gjøre dette på, og vi støtter ikke eller fremmer en måte fremfor en annen.
-
Hvis du velger å bruke OpenSSL, tilbyr vi denne prosedyren som en veiledning for å hjelpe deg med å opprette en fil som oppfyller X.509-sertifikatkravene i X.509-sertifikatkrav. Forstå disse kravene før du fortsetter.
-
Installer OpenSSL i et støttet miljø. Se https://www.openssl.org for programvare og dokumentasjon.
-
Opprett en privat nøkkel.
-
Start denne prosedyren når du mottar serversertifikatet fra Certificate Authority (CA).
| 1 |
Når du mottar serversertifikatet fra din CA, lagrer du det som |
| 2 |
Vis sertifikatet som tekst og bekreft detaljene.
|
| 3 |
Bruk et tekstredigeringsprogram til å opprette en sertifikatbuntfil kalt
|
| 4 |
Opprett .p12-filen med det vennlige navnet
|
| 5 |
Kontroller serversertifikatdetaljene. |
Hva du skal gjøre nå
Gå tilbake til Fullfør forutsetningene for hybrid datasikkerhet. Du bruker hdsnode.p12 -filen og passordet du har angitt for den, i Opprett en konfigurasjons-ISO for HDS-verter.
Du kan bruke disse filene på nytt for å be om et nytt sertifikat når det opprinnelige sertifikatet utløper.
Trafikk mellom HDS-nodene og skyen
Utgående metrikkinnsamlingstrafikk
Nodene for hybriddatasikkerhet sender visse målinger til Webex-skyen. Disse inkluderer systemmålinger for maks. heap, heap brukt, CPU-belastning og antall tråder, målinger på synkrone og asynkrone tråder, målinger på varsler som involverer en terskel for krypteringstilkoblinger, ventetid eller lengde på en forespørselskø, målinger på datalageret og krypteringstilkoblingsmålinger. Nodene sender kryptert nøkkelmateriale over en kanal utenfor båndet (atskilt fra forespørselen).
Innkommende trafikk
Nodene for hybriddatasikkerhet mottar følgende typer innkommende trafikk fra Webex-skyen:
-
Krypteringsforespørsler fra klienter som rutes av krypteringstjenesten
-
Oppgraderinger til nodeprogramvaren
Konfigurere Squid-proxyer for hybriddatasikkerhet
Websocket kan ikke koble til via Squid-proxy
Squid-proxyer som inspiserer HTTPS-trafikk kan forstyrre etableringen av websocket-tilkoblinger (wss:) som hybriddatasikkerhet krever. Disse delene gir veiledning om hvordan du konfigurerer forskjellige versjoner av Squid til å ignorere wss: trafikk for riktig drift av tjenestene.
Squid 4 og 5
Legg til on_unsupported_protocol direktivet i squid.conf:
on_unsupported_protocol tunnel alleSquid 3.5.27
Vi testet hybriddatasikkerhet med følgende regler lagt til i squid.conf. Disse reglene kan endres etter hvert som vi utvikler funksjoner og oppdaterer Webex-skyen.
acl wssMercuryConnection ssl::server_name_regex mercury-tilkobling ssl_bump splice wssMercuryConnection acl step1 at_step SslBump1 acl step2 at_step SslBump2 acl step3 at_step SslBump3 ssl_bump titte step1 alle ssl_bump stirre step2 alle ssl_bump bump step3 alleNy og endret informasjon
Ny og endret informasjon
Denne tabellen dekker nye funksjoner eller funksjonalitet, endringer i eksisterende innhold og eventuelle store feil som ble løst i distribusjonsveiledningen for hybriddatasikkerhet for flere leietakere.
|
Dato |
Endringer gjort |
|---|---|
|
15. januar 2025 |
Lagt til begrensninger for hybriddatasikkerhet for flere leietakere. |
|
08. januar 2025 |
La til en merknad i Utfør innledende konfigurering og nedlasting av installasjonsfiler som sier at det er et viktig trinn i installasjonsprosessen å klikke på Konfigurer på HDS-kortet i Partner Hub. |
|
07. januar 2025 |
Oppdaterte krav til virtuell vert, oppgaveflyt for distribusjon av hybrid datasikkerhet og Installer HDS Host OVA for å vise nye krav til ESXi 7.0. |
|
13. desember 2024 |
Først publisert. |
Deaktivere hybriddatasikkerhet for flere leietakere
Oppgaveflyt for deaktivering av HDS for flere leietakere
Følg disse trinnene for å deaktivere HDS for flere leietakere fullstendig.
Før du begynner
| 1 |
Fjern alle kunder fra alle klyngene dine, som nevnt i Fjern leietakerorganisasjoner. |
| 2 |
Tilbakekall CMK-er for alle kunder, som nevnt i Tilbakekall CMK-er for leiere som er fjernet fra HDS.. |
| 3 |
Fjern alle noder fra alle klyngene dine, som nevnt i Fjern en node. |
| 4 |
Slett alle klyngene dine fra Partner Hub ved hjelp av én av følgende to metoder.
|
| 5 |
Klikk på fanen Innstillinger på oversiktssiden for hybriddatasikkerhet, og klikk på Deaktiver HDS på HDS-statuskortet. |
Kom i gang med hybriddatasikkerhet for flere leietakere
Oversikt over hybriddatasikkerhet for flere leietakere
Fra dag én har datasikkerhet vært hovedfokuset i utformingen av Webex-appen. Hjørnesteinen i denne sikkerheten er innholdskryptering fra ende-til-ende, aktivert av Webex-appklienter som samhandler med Key Management Service (KMS). KMS er ansvarlig for å opprette og administrere kryptografiske nøkler som klienter bruker til dynamisk kryptering og dekryptering av meldinger og filer.
Som standard får alle Webex-appkunder ende-til-ende-kryptering med dynamiske nøkler lagret i skyen KMS, i Ciscos sikkerhetsområde. Hybrid Data Security flytter KMS og andre sikkerhetsrelaterte funksjoner til bedriftens datasenter, så ingen andre enn deg har nøklene til ditt krypterte innhold.
Hybriddatasikkerhet med flere leietakere gjør det mulig for organisasjoner å utnytte HDS gjennom en klarert lokal partner, som kan fungere som tjenesteleverandør og administrere lokal kryptering og andre sikkerhetstjenester. Dette oppsettet gjør det mulig for partnerorganisasjonen å ha full kontroll over distribusjon og administrasjon av krypteringsnøkler og sikrer at brukerdata fra kundeorganisasjoner er trygge mot ekstern tilgang. Partnerorganisasjoner setter opp HDS-forekomster og oppretter HDS-klynger etter behov. Hver forekomst kan støtte flere kundeorganisasjoner i motsetning til en vanlig HDS-distribusjon som er begrenset til én enkelt organisasjon.
Dette gjør det også mulig for mindre organisasjoner å utnytte HDS, siden tjeneste for nøkkeladministrasjon og sikkerhetsinfrastruktur som datasentre eies av den klarerte lokale partneren.
Hvordan hybriddatasikkerhet for flere leietakere gir datasuverenitet og datakontroll
- Brukergenerert innhold er beskyttet mot ekstern tilgang, for eksempel skytjenesteleverandører.
- Lokale klarerte partnere administrerer krypteringsnøklene til kunder de allerede har etablert relasjoner med.
- Alternativ for lokal teknisk støtte, hvis den leveres av partneren.
- Støtter innhold i møter, meldinger og anrop.
Dette dokumentet er ment å hjelpe partnerorganisasjoner med å konfigurere og administrere kunder under et hybriddatasikkerhetssystem for flere leietakere.
Begrensninger for hybriddatasikkerhet for flere leietakere
- Partnerorganisasjoner kan ikke ha noen eksisterende HDS-distribusjon aktiv i Control Hub.
- Leier- eller kundeorganisasjoner som ønsker å bli administrert av en partner, må ikke ha noen eksisterende HDS-distribusjon i Control Hub.
- Når Multi-Tenant HDS er distribuert av partneren, begynner alle brukere av kundeorganisasjoner samt brukere av partnerorganisasjonen å bruke Multi-Tenant HDS for sine krypteringstjenester.
Partnerorganisasjonen og kundeorganisasjonene de administrerer, vil være på samme HDS-distribusjon for flere leietakere.
Partnerorganisasjonen vil ikke lenger bruke sky-KMS etter at multi-tenant HDS er distribuert.
- Det finnes ingen mekanisme for å flytte nøkler tilbake til Cloud KMS etter en HDS-distribusjon.
- For øyeblikket kan hver HDS-distribusjon for flere leietakere bare ha én klynge, med flere noder under den.
- Administratorroller har visse begrensninger. Se avsnittet nedenfor for detaljer.
Roller i hybriddatasikkerhet for flere leietakere
- Fullstendig partneradministrator – Kan administrere innstillinger for alle kunder som partneren administrerer. Kan også tilordne administratorroller til eksisterende brukere i organisasjonen og tilordne bestemte kunder som skal administreres av partneradministratorer.
- Partneradministrator – Kan administrere innstillinger for kunder som administratoren har klargjort, eller som er tilordnet brukeren.
- Fullverdig administrator – Administrator for partnerorganisasjonen som er autorisert til å utføre oppgaver som å endre organisasjonsinnstillinger, administrere lisenser og tilordne roller.
- Oppsett og administrasjon av HDS med flere leietakere fra ende til ende for alle kundeorganisasjoner – fullstendig partneradministrator og fullstendige administratorrettigheter kreves.
- Administrasjon av tilordnede leietakerorganisasjoner – Partneradministrator og fullstendige administratorrettigheter kreves.
Sikkerhetsområde arkitektur
Webex-skyarkitekturen skiller forskjellige typer tjenester inn i separate områder, eller klareringsdomener, som vist nedenfor.
For å forstå hybrid datasikkerhet ytterligere, la oss først se på dette rene skytilfellet, der Cisco leverer alle funksjonene i sine skyområder. Identitetstjenesten, det eneste stedet der brukere kan være direkte korrelert med sine personopplysninger, for eksempel e-postadresse, er logisk og fysisk adskilt fra sikkerhetsområdet i datasenter B. Begge er i sin tur adskilt fra området der kryptert innhold lagres, i datasenter C.
I dette diagrammet er klienten Webex-appen som kjører på en brukers bærbare datamaskin, og er godkjent med identitetstjenesten. Når brukeren skriver en melding som skal sendes til et område, utføres følgende trinn:
-
Klienten oppretter en sikker tilkobling til nøkkeladministrasjonstjenesten (KMS), og ber deretter om en nøkkel for å kryptere meldingen. Den sikre tilkoblingen bruker ECDH, og KMS krypterer nøkkelen ved hjelp av en hovednøkkel AES-256.
-
Meldingen krypteres før den forlater klienten. Klienten sender det til indekseringstjenesten, som oppretter krypterte søkeindekser for å hjelpe i fremtidige søk etter innholdet.
-
Den krypterte meldingen sendes til samsvarstjenesten for kontroll av samsvar.
-
Den krypterte meldingen lagres i lagringsområdet.
Når du distribuerer hybrid datasikkerhet, flytter du sikkerhetsområdefunksjonene (KMS, indeksering og samsvar) til det lokale datasenteret. De andre skytjenestene som utgjør Webex (inkludert identitets- og innholdslagring) forblir i Ciscos områder.
Samarbeide med andre organisasjoner
Brukere i organisasjonen kan regelmessig bruke Webex-appen til å samarbeide med eksterne deltakere i andre organisasjoner. Når en av brukerne ber om en nøkkel for et område som eies av organisasjonen din (fordi det ble opprettet av en av brukerne), sender KMS nøkkelen til klienten via en ECDH-sikret kanal. Når en annen organisasjon eier nøkkelen for området, sender KMS imidlertid forespørselen ut til Webex-skyen via en egen ECDH-kanal for å hente nøkkelen fra den aktuelle KMS, og returnerer deretter nøkkelen til brukeren din på den opprinnelige kanalen.
KMS-tjenesten som kjører på Org A, validerer tilkoblingene til KMS i andre organisasjoner ved hjelp av x.509 PKI-sertifikater. Se Forbered miljøet hvis du vil ha mer informasjon om hvordan du genererer et x.509-sertifikat som skal brukes med distribusjonen av hybriddatasikkerhet for flere leietakere.
Forventninger til distribusjon av hybrid datasikkerhet
En distribusjon av hybrid datasikkerhet krever betydelig forpliktelse og bevissthet om risikoene som følger med å eie krypteringsnøkler.
For å distribuere hybrid datasikkerhet må du oppgi:
-
Et sikkert datasenter i et land som er et støttet sted for Cisco Webex Teams-planene.
-
Utstyret, programvaren og nettverkstilgangen som er beskrevet i Forbered miljøet.
Fullstendig tap av enten konfigurasjons-ISO-en du bygger for hybriddatasikkerhet eller databasen du leverer, vil føre til tap av nøklene. Nøkkeltap hindrer brukere i å dekryptere områdeinnhold og andre krypterte data i Webex-appen. Hvis dette skjer, kan du bygge en ny distribusjon, men bare nytt innhold vil være synlig. For å unngå tap av tilgang til data må du:
-
Administrer sikkerhetskopiering og gjenoppretting av databasen og konfigurasjons-ISO.
-
Vær forberedt på å utføre rask katastrofegjenoppretting hvis en katastrofe oppstår, for eksempel databasediskfeil eller datasenterkatastrofe.
Det finnes ingen mekanisme for å flytte nøkler tilbake til skyen etter en HDS-distribusjon.
Oppsettsprosess på høyt nivå
Dette dokumentet dekker oppsettet og administrasjonen av en distribusjon av hybriddatasikkerhet for flere leietakere:
-
Konfigurere hybrid datasikkerhet – Dette inkluderer klargjøring av nødvendig infrastruktur og installering av hybrid datasikkerhetsprogramvare, bygging av en HDS-klynge, tillegging av leierorganisasjoner i klyngen og administrasjon av kundens hovednøkler (CMK-er). Dette vil gjøre det mulig for alle brukere i kundeorganisasjonene dine å bruke den hybride datasikkerhetsklyngen til sikkerhetsfunksjoner.
Installasjons-, aktiverings- og administrasjonsfasene er beskrevet i detalj i de neste tre kapitlene.
-
Oppretthold distribusjonen av hybrid datasikkerhet – Webex-skyen gir automatisk pågående oppgraderinger. IT-avdelingen din kan gi støtte på nivå én for denne distribusjonen, og engasjere Cisco-støtte etter behov. Du kan bruke varsler på skjermen og konfigurere e-postbaserte varsler i Partner Hub.
-
Forstå vanlige varsler, feilsøkingstrinn og kjente problemer– Hvis du har problemer med å distribuere eller bruke hybriddatasikkerhet, kan det siste kapitlet i denne veiledningen og vedlegget Kjente problemer hjelpe deg med å finne og løse problemet.
Distribusjonsmodell for hybrid datasikkerhet
I bedriftens datasenter distribuerer du hybrid datasikkerhet som én klynge med noder på separate virtuelle verter. Nodene kommuniserer med Webex-skyen via sikre websockets og sikre HTTP.
Under installasjonsprosessen gir vi deg OVA-filen for å konfigurere det virtuelle apparatet på VM-ene du leverer. Du bruker HDS-installasjonsverktøyet til å opprette en egendefinert ISO-fil for klyngekonfigurasjon som du monterer på hver node. Den hybride datasikkerhetsklyngen bruker den oppgitte Syslogd-serveren og PostgreSQL- eller Microsoft SQL Server-databasen. (Du konfigurerer Syslogd- og databasetilkoblingsdetaljene i HDS-installasjonsverktøyet.)
Minimum antall noder du kan ha i en klynge, er to. Vi anbefaler minst tre per klynge. Å ha flere noder sikrer at tjenesten ikke avbrytes under en programvareoppgradering eller annen vedlikeholdsaktivitet på en node. (Webex-skyen oppgraderer bare én node om gangen.)
Alle noder i en klynge får tilgang til samme nøkkeldatalager og loggaktivitet til samme syslog-server. Nodene selv er statsløse, og håndterer nøkkelforespørsler på rund-robin-modus, som styres av skyen.
Noder blir aktive når du registrerer dem i Partner Hub. Hvis du vil ta en individuell node ut av drift, kan du avregistrere den og senere registrere den på nytt om nødvendig.
Standby Data Center for katastrofegjenoppretting
Under distribusjonen setter du opp et sikkert standbydatasenter. I tilfelle en datasenterkatastrofe, kan du manuelt mislykkes distribusjonen til standbydatasenteret.
Databasene til de aktive datasentrene og standbydatasentrene er synkronisert med hverandre, noe som vil minimere tiden det tar å utføre failover.
De aktive nodene for hybriddatasikkerhet må alltid være i samme datasenter som den aktive databaseserveren.
Proxy-støtte
Hybrid Data Security støtter eksplisitte, gjennomsiktige inspeksjons- og ikke-inspeksjons-proxyer. Du kan knytte disse proxyene til distribusjonen slik at du kan sikre og overvåke trafikk fra bedriften og ut til skyen. Du kan bruke et plattformadministratorgrensesnitt på nodene for sertifikatadministrasjon og for å kontrollere den generelle tilkoblingsstatusen etter at du har konfigurert proxyen på nodene.
Nodene for hybriddatasikkerhet støtter følgende proxy-alternativer:
-
Ingen proxy – Standard hvis du ikke bruker HDS-nodeoppsettet Trust Store & Proxy-konfigurasjonen til å integrere en proxy. Ingen sertifikatoppdatering er nødvendig.
-
Gjennomsiktig ikke-inspeksjons-proxy– Nodene er ikke konfigurert til å bruke en bestemt proxy-serveradresse og bør ikke kreve endringer for å fungere med en ikke-inspeksjons-proxy. Ingen sertifikatoppdatering er nødvendig.
-
Gjennomsiktig tunnelering eller inspeksjons-proxy– Nodene er ikke konfigurert til å bruke en bestemt proxy-serveradresse. Ingen endringer i HTTP- eller HTTPS-konfigurasjonen er nødvendig på nodene. Nodene trenger imidlertid et rotsertifikat slik at de stoler på proxyen. Inspeksjons-proxyer brukes vanligvis av IT til å håndheve retningslinjer for hvilke nettsteder som kan besøkes og hvilke typer innhold som ikke er tillatt. Denne typen proxy dekrypterer all trafikken din (til og med HTTPS).
-
Eksplisitt proxy – Med eksplisitt proxy forteller du HDS-nodene hvilken proxy-server og godkjenningsskjema som skal brukes. Hvis du vil konfigurere en eksplisitt proxy, må du angi følgende informasjon på hver node:
-
Proxy-IP/FQDN – Adresse som kan brukes til å nå proxy-maskinen.
-
Proxy-port – Et portnummer som proxyen bruker til å lytte etter proxy-trafikk.
-
Proxy-protokoll – Avhengig av hva proxy-serveren støtter, velger du mellom følgende protokoller:
-
HTTP – viser og kontrollerer alle forespørsler som klienten sender.
-
HTTPS – Gir en kanal til serveren. Klienten mottar og validerer serverens sertifikat.
-
-
Godkjenningstype– velg blant følgende godkjenningstyper:
-
Ingen – Ingen ytterligere godkjenning er nødvendig.
Tilgjengelig hvis du velger enten HTTP eller HTTPS som proxy-protokoll.
-
Grunnleggende – Brukes for en HTTP-brukeragent til å oppgi brukernavn og passord når du foretar en forespørsel. Bruker Base64-koding.
Tilgjengelig hvis du velger enten HTTP eller HTTPS som proxy-protokoll.
Krever at du skriver inn brukernavn og passord for hver node.
-
Sammendrag – Brukes til å bekrefte kontoen før sensitiv informasjon sendes. Bruker en hash-funksjon på brukernavnet og passordet før det sendes over nettverket.
Bare tilgjengelig hvis du velger HTTPS som proxy-protokoll.
Krever at du skriver inn brukernavn og passord for hver node.
-
-
Eksempel på noder og proxy for hybriddatasikkerhet
Dette diagrammet viser en eksempelkobling mellom hybriddatasikkerhet, nettverk og en proxy. For gjennomsiktig inspeksjon og eksplisitt HTTPS-inspeksjons-proxy-alternativer, må det samme rotsertifikatet være installert på proxyen og på nodene for hybriddatasikkerhet.
Blokkert ekstern DNS-oppløsningsmodus (eksplisitte proxy-konfigurasjoner)
Når du registrerer en node eller sjekker nodens proxy-konfigurasjon, tester prosessen DNS-oppslag og tilkobling til Cisco Webex-skyen. I distribusjoner med eksplisitte proxy-konfigurasjoner som ikke tillater ekstern DNS-oppløsning for interne klienter, går den automatisk inn i blokkert ekstern DNS-oppløsning-modus hvis noden ikke kan spørre DNS-serverne. I denne modusen kan noderegistrering og andre proxy-tilkoblingstester fortsette.
Forbered miljøet ditt
Krav til hybriddatasikkerhet for flere leietakere
Krav til Cisco Webex-lisens
Slik distribuerer du hybriddatasikkerhet for flere leietakere:
-
Partnerorganisasjoner: Kontakt din Cisco-partner eller kontoadministrator og sørg for at funksjonen for flere leietakere er aktivert.
-
Leietakerorganisasjoner: Du må ha Pro Pack for Cisco Webex Control Hub. (Se https://www.cisco.com/go/pro-pack.)
Krav til Docker-skrivebord
Før du installerer HDS-nodene, trenger du Docker Desktop for å kjøre et installasjonsprogram. Docker oppdaterte nylig sin lisensieringsmodell. Organisasjonen din kan kreve et betalt abonnement på Docker Desktop. Hvis du vil ha mer informasjon, kan du se innlegget til Docker-bloggen, «Docker oppdaterer og utvider våre produktabonnementer».
X.509-sertifikatkrav
Sertifikatkjeden må oppfylle følgende krav:
|
Krav |
Detaljer |
|---|---|
|
Som standard stoler vi på sertifiseringsinstansene i Mozilla-listen (med unntak av WoSign og StartCom) på https://wiki.mozilla.org/CA:IncludedCAs. |
|
CN trenger ikke å være tilgjengelig eller en direkte vert. Vi anbefaler at du bruker et navn som gjenspeiler organisasjonen din, for eksempel CN kan ikke inneholde et * (jokertegn). CN brukes til å bekrefte nodene for hybriddatasikkerhet til Webex-appklienter. Alle nodene for hybriddatasikkerhet i klyngen bruker det samme sertifikatet. KMS identifiserer seg selv ved hjelp av CN-domenet, ikke et domene som er definert i x.509v3 SAN-feltene. Når du har registrert en node med dette sertifikatet, støtter vi ikke endring av CN-domenenavnet. |
|
KMS-programvaren støtter ikke SHA1-signaturer for validering av tilkoblinger til andre organisasjons KMS-er. |
|
Du kan bruke en konverter som OpenSSL til å endre sertifikatets format. Du må angi passordet når du kjører HDS-installasjonsverktøyet. |
KMS-programvaren håndhever ikke nøkkelbruk eller utvidede begrensninger for nøkkelbruk. Noen sertifikatmyndigheter krever at utvidede nøkkelbruksbegrensninger brukes på hvert sertifikat, for eksempel servergodkjenning. Det er greit å bruke servergodkjenningen eller andre innstillinger.
Krav til virtuell vert
De virtuelle vertene som du vil konfigurere som Hybrid Data Security-noder i klyngen har følgende krav:
-
Minst to separate verter (3 anbefales) plassert i samme sikre datasenter
-
VMware ESXi 7.0 (eller nyere) installert og kjører.
Du må oppgradere hvis du har en tidligere versjon av ESXi.
-
Minimum 4 vCPU-er, 8 GB hovedminne, 30 GB lokalt harddiskplass per server
Krav til databaseserver
Opprett en ny database for nøkkellagring. Ikke bruk standarddatabasen. HDS-programmene oppretter databaseskjemaet når de er installert.
Det finnes to alternativer for databaseserver. Kravene til hver av dem er som følger:
|
PostgreSql |
Microsoft SQL Server |
|---|---|
|
|
|
Minimum 8 vCPU-er, 16 GB hovedminne, tilstrekkelig harddiskplass og overvåking for å sikre at det ikke overskrides (2 TB anbefales hvis du vil kjøre databasen i lang tid uten å måtte øke lagringsplassen) |
Minimum 8 vCPU-er, 16 GB hovedminne, tilstrekkelig harddiskplass og overvåking for å sikre at det ikke overskrides (2 TB anbefales hvis du vil kjøre databasen i lang tid uten å måtte øke lagringsplassen) |
HDS-programvaren installerer for øyeblikket følgende driverversjoner for kommunikasjon med databaseserveren:
|
PostgreSql |
Microsoft SQL Server |
|---|---|
|
Postgres JDBC driver 42.2.5 |
SQL Server JDBC driver 4.6 Denne driverversjonen støtter SQL Server Always On (Always On Failover Cluster Instances og Always On Availability Groups). |
Ytterligere krav for Windows-godkjenning mot Microsoft SQL Server
Hvis du vil at HDS-noder skal bruke Windows-godkjenning for å få tilgang til Keystore-databasen på Microsoft SQL Server, trenger du følgende konfigurasjon i miljøet ditt:
-
HDS-nodene, Active Directory-infrastrukturen og MS SQL Server må alle synkroniseres med NTP.
-
Windows-kontoen du oppgir til HDS-noder, må ha lese-/skrivetilgang til databasen.
-
DNS-serverne du leverer til HDS-noder, må kunne løse nøkkeldistribusjonssenteret (KDC).
-
Du kan registrere HDS-databaseforekomsten på Microsoft SQL Server som et tjenestehovednavn (SPN) i Active Directory. Se Registrer tjenestens hovednavn for Kerberos-tilkoblinger.
HDS-installasjonsverktøyet, HDS-oppstartsprogrammet og lokal KMS må bruke Windows-godkjenning for å få tilgang til nøkkelbutikkdatabasen. De bruker detaljene fra ISO-konfigurasjonen til å konstruere SPN-en når de ber om tilgang med Kerberos-godkjenning.
Krav til ekstern tilkobling
Konfigurer brannmuren slik at den tillater følgende tilkobling for HDS-programmene:
|
Applikasjon |
Protokoll |
Port |
Retning fra appen |
Destinasjon |
|---|---|---|---|---|
|
Noder for hybriddatasikkerhet |
tcp |
443 |
Utgående HTTPS og WSS |
|
|
HDS-oppsettsverktøy |
tcp |
443 |
Utgående HTTPS |
|
Nodene for hybriddatasikkerhet fungerer med oversettelse av nettverkstilgang (NAT) eller bak en brannmur, så lenge NAT eller brannmuren tillater de nødvendige utgående tilkoblingene til domenet-målene i tabellen ovenfor. Ingen porter skal være synlige fra Internett for tilkoblinger som går inn til nodene for hybriddatasikkerhet. I datasenteret trenger klienter tilgang til nodene for hybriddatasikkerhet på TCP-portene 443 og 22 av administrative grunner.
URL-adressene for Common Identity (CI)-vertene er områdespesifikke. Dette er de gjeldende CI-vertene:
|
Region |
URL-adresser for Common Identity Host |
|---|---|
|
Nord-Amerika |
|
|
Den europeiske union |
|
|
Canada |
|
| Singapore |
|
| De forente arabiske emirater |
|
Krav til proxy-server
-
Vi støtter offisielt følgende proxy-løsninger som kan integreres med nodene for hybriddatasikkerhet.
-
Gjennomsiktig proxy – Cisco Web Security Appliance (WSA).
-
Eksplisitt proxy – Squid.
Squid-proxyer som inspiserer HTTPS-trafikk kan forstyrre opprettelsen av websocket-tilkoblinger (wss:). Hvis du vil omgå dette problemet, kan du se Konfigurere Squid-proxyer for hybriddatasikkerhet.
-
-
Vi støtter følgende kombinasjoner av godkjenningstyper for eksplisitte proxyer:
-
Ingen godkjenning med HTTP eller HTTPS
-
Grunnleggende godkjenning med HTTP eller HTTPS
-
Digest-godkjenning kun med HTTPS
-
-
For en gjennomsiktig inspeksjons-proxy eller en eksplisitt HTTPS-proxy, må du ha en kopi av proxyens rotsertifikat. Distribusjonsinstruksjonene i denne veiledningen forteller deg hvordan du laster opp kopien til klareringslagrene for hybriddatasikkerhetsnodene.
-
Nettverket som er vert for HDS-nodene, må konfigureres til å tvinge utgående TCP-trafikk på port 443 til å rute gjennom proxyen.
-
Proxyer som inspiserer webtrafikk kan forstyrre Web Socket-tilkoblinger. Hvis dette problemet oppstår, vil det å omgå (ikke inspisere) trafikk til
wbx2.com, ogciscospark.comvil løse problemet.
Fullfør forutsetningene for hybrid datasikkerhet
| 1 |
Sørg for at partnerorganisasjonen din har HDS-funksjonen for flere leietakere aktivert og få legitimasjonen til en konto med fullstendig partneradministrator og fullstendige administratorrettigheter. Påse at Webex-kundeorganisasjonen er aktivert for Pro Pack for Cisco Webex Control Hub. Kontakt din Cisco-partner eller kontoadministrator for å få hjelp med denne prosessen. Kundeorganisasjoner skal ikke ha noen eksisterende HDS-distribusjon. |
| 2 |
Velg et domenenavn for HDS-distribusjonen (for eksempel |
| 3 |
Klargjør identiske virtuelle verter som du vil konfigurere som Hybrid Data Security-noder i klyngen. Du trenger minst to separate verter (3 anbefales) plassert i samme sikre datasenter, som oppfyller kravene i Krav til virtuelle verter. |
| 4 |
Klargjør databaseserveren som skal fungere som nøkkeldatalager for klyngen, i henhold til Databaseserverkrav. Databaseserveren må være plassert i det sikre datasenteret med de virtuelle vertene. |
| 5 |
For rask katastrofegjenoppretting konfigurerer du et sikkerhetskopieringsmiljø i et annet datasenter. Sikkerhetskopieringsmiljøet gjenspeiler produksjonsmiljøet til VM-er og en sikkerhetskopidatabaseserver. Hvis for eksempel produksjonen har 3 VM-er som kjører HDS-noder, skal sikkerhetskopieringsmiljøet ha 3 VM-er. |
| 6 |
Sett opp en syslog-vert for å samle inn logger fra nodene i klyngen. Samle nettverksadressen og syslog-porten (standard er UDP 514). |
| 7 |
Opprett en sikker sikkerhetskopieringspolicy for nodene for hybriddatasikkerhet, databaseserveren og syslog-verten. For å forhindre ugjenopprettelig tap av data må du som minimum sikkerhetskopiere databasen og konfigurasjonsfilen som genereres for nodene for hybriddatasikkerhet. Fordi nodene for hybriddatasikkerhet lagrer nøklene som brukes til kryptering og dekryptering av innhold, vil manglende vedlikehold av en operativ distribusjon føre til UGJENOPPRETTELIG TAP av dette innholdet. Webex-appklienter bufrer nøklene sine, så det kan hende at et driftsbrudd ikke er umiddelbart merkbart, men vil bli tydelig over tid. Selv om midlertidige avbrudd er umulig å forhindre, kan de gjenopprettes. Fullstendig tap (ingen sikkerhetskopieringer tilgjengelig) av enten databasen eller konfigurasjons-ISO-filen vil imidlertid føre til ugjenopprettbare kundedata. Operatørene av nodene for hybriddatasikkerhet forventes å opprettholde hyppige sikkerhetskopieringer av databasen og konfigurasjonsfilen, og være forberedt på å gjenoppbygge datasenteret for hybriddatasikkerhet hvis det oppstår en katastrofal feil. |
| 8 |
Kontroller at brannmurkonfigurasjonen tillater tilkobling for hybriddatasikkerhetsnodene som beskrevet i Krav til ekstern tilkobling. |
| 9 |
Installer Docker ( https://www.docker.com) på en hvilken som helst lokal maskin som kjører et støttet operativsystem (Microsoft Windows 10 Professional eller Enterprise 64-biters, eller Mac OSX Yosemite 10.10.3 eller nyere) med en nettleser som har tilgang til det på http://127.0.0.1:8080. Du bruker Docker-forekomsten til å laste ned og kjøre HDS-installasjonsverktøyet, som bygger den lokale konfigurasjonsinformasjonen for alle nodene for hybriddatasikkerhet. Du trenger kanskje en Docker Desktop-lisens. Se Krav til Docker Desktop for mer informasjon. For å installere og kjøre HDS-installasjonsverktøyet må den lokale maskinen ha tilkoblingen beskrevet i Krav til ekstern tilkobling. |
| 10 |
Hvis du integrerer en proxy med hybriddatasikkerhet, må du sørge for at den oppfyller kravene til proxy-serveren. |
Konfigurere en klynge for hybriddatasikkerhet
Oppgaveflyt for distribusjon av hybrid datasikkerhet
| 1 |
Utfør første konfigurasjon og last ned installasjonsfiler Last ned OVA-filen til din lokale maskin for senere bruk. |
| 2 |
Opprette en konfigurasjons-ISO for HDS-verter Bruk HDS-installasjonsverktøyet til å opprette en ISO-konfigurasjonsfil for nodene for hybriddatasikkerhet. |
| 3 |
Opprett en virtuell maskin fra OVA-filen og utfør første konfigurasjon, for eksempel nettverksinnstillinger. Alternativet for å konfigurere nettverksinnstillinger under OVA-distribusjon er testet med ESXi 7.0. Alternativet er kanskje ikke tilgjengelig i tidligere versjoner. |
| 4 |
Konfigurere VM for hybriddatasikkerhet Logg på VM-konsollen og angi påloggingslegitimasjonen. Konfigurer nettverksinnstillingene for noden hvis du ikke konfigurerte dem da OVA ble distribuert. |
| 5 |
Laste opp og montere konfigurasjons-ISO for HDS Konfigurer VM fra ISO-konfigurasjonsfilen du opprettet med HDS-installasjonsverktøyet. |
| 6 |
Konfigurere HDS-noden for proxy-integrering Hvis nettverksmiljøet krever proxy-konfigurasjon, angir du hvilken type proxy du vil bruke for noden, og legger til proxy-sertifikatet i klareringslageret om nødvendig. |
| 7 |
Registrer den første noden i klyngen Registrer VM med Cisco Webex-skyen som en hybrid datasikkerhetsnode. |
| 8 |
Opprett og registrer flere noder Fullfør klyngeoppsettet. |
| 9 |
Aktiver HDS for flere leietakere på Partner Hub. Aktiver HDS og administrer leierorganisasjoner på Partner Hub. |
Utfør første konfigurasjon og last ned installasjonsfiler
I denne oppgaven laster du ned en OVA-fil til maskinen din (ikke til serverne du konfigurerer som Hybrid Data Security-noder). Du bruker denne filen senere i installasjonsprosessen.
| 1 |
Logg på Partner Hub, og klikk deretter på Tjenester. |
| 2 |
Finn kortet for hybriddatasikkerhet under Skytjenester, og klikk deretter på Konfigurer. Å klikke på Konfigurer i Partner Hub er avgjørende for distribusjonsprosessen. Ikke fortsett med installasjonen uten å fullføre dette trinnet. |
| 3 |
Klikk på Legg til en ressurs , og klikk på Last ned .OVA-fil på kortet Installer og konfigurer programvare . Eldre versjoner av programvarepakken (OVA) vil ikke være kompatible med de nyeste oppgraderingene for hybriddatasikkerhet. Dette kan føre til problemer under oppgradering av programmet. Sørg for at du laster ned den nyeste versjonen av OVA-filen. Du kan også laste ned OVA når som helst fra Hjelp -delen. Klikk på . OVA-filen begynner automatisk å lastes ned. Lagre filen på en plassering på maskinen.
|
| 4 |
Du kan eventuelt klikke på Se distribusjonsveiledning for hybriddatasikkerhet for å sjekke om det finnes en senere versjon av denne veiledningen. |
Opprette en konfigurasjons-ISO for HDS-verter
Installasjonsprosessen for hybriddatasikkerhet oppretter en ISO-fil. Deretter bruker du ISO til å konfigurere verten for hybriddatasikkerhet.
Før du begynner
-
HDS-installasjonsverktøyet kjører som en Docker-beholder på en lokal maskin. Kjør Docker på maskinen for å få tilgang til den. Installasjonsprosessen krever legitimasjonen til en Partner Hub-konto med fulle administratorrettigheter.
Hvis HDS-installasjonsverktøyet kjører bak en proxy i miljøet ditt, må du oppgi proxy-innstillingene (server, port, legitimasjon) gjennom Docker-miljøvariablene når du tar opp Docker-beholderen i trinn 5 nedenfor. Denne tabellen viser noen mulige miljøvariabler:
Beskrivelse
Variabel
HTTP-proxy uten autentisering
GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORTHTTPS-proxy uten autentisering
GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORTHTTP-proxy med autentisering
GLOBAL_AGENT_HTTP_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORTHTTPS-proxy med autentisering
GLOBAL_AGENT_HTTPS_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT -
ISO-konfigurasjonsfilen du genererer, inneholder hovednøkkelen som krypterer PostgreSQL- eller Microsoft SQL Server-databasen. Du trenger den nyeste kopien av denne filen hver gang du gjør konfigurasjonsendringer, for eksempel disse:
-
Databaselegitimasjon
-
Sertifikatoppdateringer
-
Endringer i godkjenningspolicyen
-
-
Hvis du planlegger å kryptere databasetilkoblinger, konfigurerer du distribusjonen av PostgreSQL eller SQL Server for TLS.
| 1 |
På maskinens kommandolinje angir du riktig kommando for miljøet: I vanlige miljøer: I FedRAMP-miljøer: Dette trinnet rydder opp tidligere HDS-installasjonsverktøy bilder. Hvis det ikke finnes noen tidligere bilder, returnerer det en feil som du kan ignorere. | ||||||||||
| 2 |
Skriv inn følgende for å logge på Docker-bilderegisteret: | ||||||||||
| 3 |
Skriv inn denne hashen når du blir bedt om passord: | ||||||||||
| 4 |
Last ned det nyeste stabile bildet for miljøet ditt: I vanlige miljøer: I FedRAMP-miljøer: | ||||||||||
| 5 |
Når trekket er fullført, skriver du inn riktig kommando for ditt miljø:
Når containeren kjører, ser du "Express server lytter på port 8080." | ||||||||||
| 6 |
Installasjonsverktøyet støtter ikke tilkobling til localhost via http://localhost:8080. Bruk http://127.0.0.1:8080 for å koble til localhost. Bruk en nettleser til å gå til localhost, Verktøyet bruker denne første oppføringen av brukernavnet til å angi riktig miljø for kontoen. Verktøyet viser deretter standard påloggingsmelding. | ||||||||||
| 7 |
Når du blir bedt om det, skriver du inn påloggingslegitimasjonen for Partner Hub-administrator, og klikker deretter på Logg på for å gi tilgang til de nødvendige tjenestene for hybriddatasikkerhet. | ||||||||||
| 8 |
Klikk på Kom i gang på oversiktssiden for oppsettsverktøyet. | ||||||||||
| 9 |
På siden ISO-import har du disse alternativene:
| ||||||||||
| 10 |
Kontroller at X.509-sertifikatet oppfyller kravene i X.509-sertifikatkrav.
| ||||||||||
| 11 |
Skriv inn databaseadressen og kontoen for HDS for å få tilgang til nøkkeldatalageret: | ||||||||||
| 12 |
Velg en TLS-databasetilkoblingsmodus:
Når du laster opp rotsertifikatet (om nødvendig) og klikker på Fortsett, tester HDS-installasjonsverktøyet TLS-tilkoblingen til databaseserveren. Verktøyet bekrefter også sertifikatsigneringen og vertsnavnet, hvis aktuelt. Hvis en test mislykkes, viser verktøyet en feilmelding som beskriver problemet. Du kan velge om du vil ignorere feilen og fortsette med oppsettet. (På grunn av tilkoblingsforskjeller kan HDS-nodene være i stand til å etablere TLS-tilkoblingen selv om HDS-installasjonsverktøyet ikke kan teste den.) | ||||||||||
| 13 |
På siden Systemlogger konfigurerer du Syslogd-serveren: | ||||||||||
| 14 |
(Valgfritt) Du kan endre standardverdien for noen parametere for databasetilkobling i Avanserte innstillinger. Generelt er denne parameteren den eneste du kanskje vil endre: | ||||||||||
| 15 |
Klikk på Fortsett på skjermen Tilbakestill passord for tjenestekontoer . Passord for tjenestekontoen har en levetid på ni måneder. Bruk dette skjermbildet når passordene nærmer seg utløpsdatoen, eller du vil tilbakestille dem til å ugyldiggjøre tidligere ISO-filer. | ||||||||||
| 16 |
Klikk på Last ned ISO-fil. Lagre filen på et sted som er lett å finne. | ||||||||||
| 17 |
Ta en sikkerhetskopi av ISO-filen på ditt lokale system. Behold sikkerhetskopien sikker. Denne filen inneholder en hovedkrypteringsnøkkel for databaseinnholdet. Begrens tilgangen til bare de hybriddatasikkerhetsadministratorene som skal foreta konfigurasjonsendringer. | ||||||||||
| 18 |
Hvis du vil slå av installasjonsverktøyet, skriver du inn |
Hva du skal gjøre nå
Sikkerhetskopier ISO-konfigurasjonsfilen. Du trenger den for å opprette flere noder for gjenoppretting, eller for å gjøre konfigurasjonsendringer. Hvis du mister alle kopier av ISO-filen, har du også mistet hovednøkkelen. Det er ikke mulig å gjenopprette nøklene fra PostgreSQL- eller Microsoft SQL Server-databasen.
Vi har aldri en kopi av denne nøkkelen og kan ikke hjelpe hvis du mister den.
Installere HDS Host OVA
| 1 |
Bruk VMware vSphere-klienten på datamaskinen for å logge på den virtuelle ESXi-verten. |
| 2 |
Velg Fil > Distribuer OVF-mal. |
| 3 |
I veiviseren angir du plasseringen til OVA-filen du lastet ned tidligere, og klikker deretter på Neste. |
| 4 |
På siden Velg et navn og mappe skriver du inn et Virtuelt maskinnavn for noden (for eksempel «HDS_Node_1»), velger et sted der den virtuelle maskinnodedistribusjonen kan ligge, og klikker deretter på Neste. |
| 5 |
På siden Velg en beregningsressurs velger du destinasjonsberegningsressursen, og klikker deretter på Neste. En valideringskontroll kjører. Når den er ferdig, vises maldetaljene. |
| 6 |
Bekreft maldetaljene, og klikk deretter på Neste. |
| 7 |
Hvis du blir bedt om å velge ressurskonfigurasjonen på Konfigurasjon -siden, klikker du på 4 CPU og klikker deretter på Neste. |
| 8 |
På siden Velg lagring klikker du på Neste for å godta standard diskformat og retningslinjer for lagring av VM. |
| 9 |
På siden Velg nettverk velger du nettverksalternativet fra listen over oppføringer for å gi ønsket tilkobling til VM-en. |
| 10 |
Konfigurer følgende nettverksinnstillinger på siden Tilpass mal :
Hvis du vil, kan du hoppe over konfigurasjonen av nettverksinnstillingene og følge trinnene i Konfigurere VM for hybriddatasikkerhet for å konfigurere innstillingene fra nodekonsollen. Alternativet for å konfigurere nettverksinnstillinger under OVA-distribusjon er testet med ESXi 7.0. Alternativet er kanskje ikke tilgjengelig i tidligere versjoner. |
| 11 |
Høyreklikk på noden VM, og velg deretter . Programvaren for hybrid datasikkerhet installeres som gjest på VM-verten. Du er nå klar til å logge på konsollen og konfigurere noden. Feilsøkingstips Du kan oppleve en forsinkelse på noen minutter før nodebeholderne kommer opp. Det vises en brobrannmurmelding på konsollen under første oppstart, hvor du ikke kan logge på. |
Konfigurere VM for hybriddatasikkerhet
Bruk denne fremgangsmåten til å logge på VM-konsollen for hybriddatasikkerhetsnoden for første gang og angi påloggingslegitimasjonen. Du kan også bruke konsollen til å konfigurere nettverksinnstillingene for noden hvis du ikke konfigurerte dem da OVA ble distribuert.
| 1 |
I VMware vSphere-klienten velger du den hybride datasikkerhetsnoden VM og velger fanen Konsoll . VM starter opp og en melding om pålogging vises. Hvis meldingen om pålogging ikke vises, trykker du på Enter.
|
| 2 |
Bruk følgende standard pålogging og passord for å logge på og endre legitimasjonen: Siden du logger på VM for første gang, må du endre administratorpassordet. |
| 3 |
Hvis du allerede har konfigurert nettverksinnstillingene i Installer HDS Host OVA, hopper du over resten av denne prosedyren. Hvis ikke, velger du alternativet Rediger konfigurasjon i hovedmenyen. |
| 4 |
Konfigurer en statisk konfigurasjon med IP-adresse, maske, gateway og DNS-informasjon. Noden din skal ha en intern IP-adresse og et DNS-navn. DHCP støttes ikke. |
| 5 |
(Valgfritt) Endre vertsnavnet, domenet eller NTP-serveren(e) om nødvendig for å samsvare med nettverkspolicyen. Du trenger ikke å angi domenet til å samsvare med domenet du brukte til å skaffe X.509-sertifikatet. |
| 6 |
Lagre nettverkskonfigurasjonen og start VM på nytt slik at endringene trer i kraft. |
Laste opp og montere konfigurasjons-ISO for HDS
Før du begynner
Fordi ISO-filen innehar hovednøkkelen, bør den bare eksponeres på "trenger å vite"-basis, for tilgang for virtuelle maskiner for hybriddatasikkerhet og eventuelle administratorer som må gjøre endringer. Sørg for at bare disse administratorene har tilgang til datalageret.
| 1 |
Last opp ISO-filen fra datamaskinen: |
| 2 |
Montere ISO-fil: |
Hva du skal gjøre nå
Hvis IT-policyen krever det, kan du eventuelt avmontere ISO-filen etter at alle nodene har plukket opp konfigurasjonsendringene. Se (Valgfritt) Avmonter ISO etter HDS-konfigurasjon for detaljer.
Konfigurere HDS-noden for proxy-integrering
Hvis nettverksmiljøet krever en proxy, bruker du denne fremgangsmåten til å angi hvilken type proxy du vil integrere med hybrid datasikkerhet. Hvis du velger en gjennomsiktig inspeksjons-proxy eller en eksplisitt HTTPS-proxy, kan du bruke nodens grensesnitt til å laste opp og installere rotsertifikatet. Du kan også sjekke proxy-tilkoblingen fra grensesnittet, og feilsøke eventuelle problemer.
Før du begynner
-
Se Proxy-støtte for en oversikt over proxy-alternativene som støttes.
| 1 |
Skriv inn URL-adressen for HDS-nodeoppsett |
| 2 |
Gå til Klareringslager og proxy, og velg deretter et alternativ:
Følg de neste trinnene for en gjennomsiktig inspeksjons-proxy, en eksplisitt HTTP-proxy med grunnleggende godkjenning eller en eksplisitt HTTPS-proxy. |
| 3 |
Klikk på Last opp et rotsertifikat eller sluttenhetssertifikat, og gå deretter til å velge rotsertifikatet for proxyen. Sertifikatet er lastet opp, men er ennå ikke installert fordi du må starte noden på nytt for å installere sertifikatet. Klikk på chevron-pilen ved navnet på sertifikatutstederen for å få mer informasjon, eller klikk på Slett hvis du har gjort en feil og vil laste opp filen på nytt. |
| 4 |
Klikk på Kontroller proxy-tilkobling for å teste nettverkstilkoblingen mellom noden og proxyen. Hvis tilkoblingstesten mislykkes, får du en feilmelding som viser årsaken og hvordan du kan løse problemet. Hvis du ser en melding om at den eksterne DNS-oppløsningen ikke var vellykket, kunne ikke noden nå DNS-serveren. Denne tilstanden forventes i mange eksplisitte proxy-konfigurasjoner. Du kan fortsette med oppsettet, og noden vil fungere i modus for blokkert ekstern DNS-oppløsning. Hvis du tror dette er en feil, fullfører du disse trinnene og ser Slå av blokkert ekstern DNS-oppløsningsmodus. |
| 5 |
Etter at tilkoblingstesten er bestått, bare for eksplisitt proxy satt til https, slår du veksleknappen til Rute alle port 443/444 https-forespørsler fra denne noden gjennom den eksplisitte proxyen. Denne innstillingen tar 15 sekunder før den trer i kraft. |
| 6 |
Klikk på Installer alle sertifikater i klareringslageret (vises for en eksplisitt HTTPS-proxy eller en gjennomsiktig inspeksjons-proxy) eller Start på nytt (vises for en eksplisitt HTTP-proxy), les ledeteksten og klikk deretter på Installer hvis du er klar. Noden starter på nytt innen noen få minutter. |
| 7 |
Etter at noden har startet på nytt, logger du på igjen om nødvendig og åpner deretter Oversikt -siden for å sjekke tilkoblingskontrollene for å sikre at alle er i grønn status. Proxy-tilkoblingskontrollen tester bare et underdomene av webex.com. Hvis det er tilkoblingsproblemer, er et vanlig problem at noen av skydomenene som er oppført i installasjonsinstruksjonene, blokkeres ved proxyen. |
Registrer den første noden i klyngen
Når du registrerer din første node, oppretter du en klynge som noden er tilordnet til. En klynge inneholder én eller flere noder som er distribuert for å gi redundans.
Før du begynner
-
Når du begynner å registrere en node, må du fullføre den innen 60 minutter, eller du må starte på nytt.
-
Sørg for at eventuelle popup-blokkere i nettleseren er deaktivert, eller at du tillater et unntak for admin.webex.com.
| 1 |
Logg på https://admin.webex.com. |
| 2 |
Velg Tjenester fra menyen til venstre på skjermen. |
| 3 |
I delen Skytjenester finner du kortet for hybriddatasikkerhet og klikker på Konfigurer. |
| 4 |
Klikk på Legg til en ressurs på siden som åpnes. |
| 5 |
I det første feltet i Legg til en node -kortet skriver du inn et navn på klyngen du vil tilordne hybriddatasikkerhetsnoden til. Vi anbefaler at du navngir en klynge basert på hvor nodene i klyngen befinner seg geografisk. Eksempler: "San Francisco" eller "New York" eller "Dallas" |
| 6 |
I det andre feltet skriver du inn den interne IP-adressen eller det fullstendige domenenavnet (FQDN) til noden og klikker på Legg til nederst på skjermen. Denne IP-adressen eller FQDN skal samsvare med IP-adressen eller vertsnavnet og domenet du brukte i Konfigurere VM for hybriddatasikkerhet. Det vises en melding som angir at du kan registrere noden din til Webex.
|
| 7 |
Klikk på Gå til node. Etter et øyeblikk blir du omdirigert til nodetilkoblingstestene for Webex-tjenester. Hvis alle testene er vellykkede, vises siden Gi tilgang til hybrid datasikkerhetsnode. Der bekrefter du at du vil gi tillatelse til Webex-organisasjonen din for å få tilgang til noden din. |
| 8 |
Merk av i avkrysningsboksen Gi tilgang til din hybride datasikkerhetsnode , og klikk deretter på Fortsett. Kontoen din er validert, og meldingen «Registreringen er fullført» indikerer at noden din nå er registrert i Webex-skyen.
|
| 9 |
Klikk på koblingen eller lukk fanen for å gå tilbake til Partner Hub Hybrid Data Security-siden. På siden Hybriddatasikkerhet vises den nye klyngen som inneholder noden du registrerte, under Ressurser -fanen. Noden vil automatisk laste ned den nyeste programvaren fra skyen.
|
Opprett og registrer flere noder
Før du begynner
-
Når du begynner å registrere en node, må du fullføre den innen 60 minutter, eller du må starte på nytt.
-
Sørg for at eventuelle popup-blokkere i nettleseren er deaktivert, eller at du tillater et unntak for admin.webex.com.
| 1 |
Opprett en ny virtuell maskin fra OVA, og gjenta trinnene i Installer HDS Host OVA. |
| 2 |
Konfigurer den første konfigurasjonen på den nye VM-en, og gjenta trinnene i Konfigurer VM for hybriddatasikkerhet. |
| 3 |
På den nye VM gjentar du trinnene i Last opp og monter HDS-konfigurasjons-ISO. |
| 4 |
Hvis du konfigurerer en proxy for distribusjonen, gjentar du trinnene i Konfigurer HDS-noden for proxy-integrasjon etter behov for den nye noden. |
| 5 |
Registrer noden. |
Administrere leietakerorganisasjoner for hybriddatasikkerhet for flere leietakere
Aktivere HDS for flere leietakere på Partner Hub
Denne oppgaven sikrer at alle brukere av kundeorganisasjonene kan begynne å bruke HDS for lokale krypteringsnøkler og andre sikkerhetstjenester.
Før du begynner
Sørg for at du har fullført konfigureringen av HDS-klyngen for flere leietakere med det nødvendige antallet noder.
| 1 |
Logg på https://admin.webex.com. |
| 2 |
Velg Tjenester fra menyen til venstre på skjermen. |
| 3 |
I delen Skytjenester finner du hybriddatasikkerhet og klikker på Rediger innstillinger. |
| 4 |
Klikk på Aktiver HDS på kortet HDS-status . |
Legg til leietakerorganisasjoner i Partner Hub
I denne oppgaven tilordner du kundeorganisasjoner til din hybride datasikkerhetsklynge.
| 1 |
Logg på https://admin.webex.com. |
| 2 |
Velg Tjenester fra menyen til venstre på skjermen. |
| 3 |
Finn hybriddatasikkerhet under Skytjenester, og klikk på Vis alle. |
| 4 |
Klikk på klyngen du vil at en kunde skal tilordnes til. |
| 5 |
Gå til fanen Tilordnede kunder . |
| 6 |
Klikk på Legg til kunder. |
| 7 |
Velg kunden du vil legge til, fra rullegardinmenyen. |
| 8 |
Klikk på Legg til, kunden blir lagt til i klyngen. |
| 9 |
Gjenta trinn 6 til 8 for å legge til flere kunder i klyngen. |
| 10 |
Klikk på Ferdig nederst på skjermen når du har lagt til kundene. |
Hva du skal gjøre nå
Opprett kundens hovednøkler (CMK-er) ved hjelp av HDS-installasjonsverktøyet
Før du begynner
Tilordne kunder til riktig klynge som beskrevet i Legg til leietakerorganisasjoner i Partner Hub. Kjør HDS-installasjonsverktøyet for å fullføre installasjonsprosessen for de nylig tillagte kundeorganisasjonene.
-
HDS-installasjonsverktøyet kjører som en Docker-beholder på en lokal maskin. Kjør Docker på maskinen for å få tilgang til den. Installasjonsprosessen krever legitimasjon for en Partner Hub-konto med fulle administratorrettigheter for organisasjonen din.
Hvis HDS-installasjonsverktøyet kjører bak en proxy i miljøet ditt, må du oppgi proxy-innstillingene (server, port, legitimasjon) gjennom Docker-miljøvariablene når du tar opp Docker-beholderen i trinn 5. Denne tabellen viser noen mulige miljøvariabler:
Beskrivelse
Variabel
HTTP-proxy uten autentisering
GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORTHTTPS-proxy uten autentisering
GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORTHTTP-proxy med autentisering
GLOBAL_AGENT_HTTP_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORTHTTPS-proxy med autentisering
GLOBAL_AGENT_HTTPS_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT -
ISO-konfigurasjonsfilen du genererer, inneholder hovednøkkelen som krypterer PostgreSQL- eller Microsoft SQL Server-databasen. Du trenger den nyeste kopien av denne filen hver gang du gjør konfigurasjonsendringer, for eksempel disse:
-
Databaselegitimasjon
-
Sertifikatoppdateringer
-
Endringer i godkjenningspolicyen
-
-
Hvis du planlegger å kryptere databasetilkoblinger, konfigurerer du distribusjonen av PostgreSQL eller SQL Server for TLS.
Installasjonsprosessen for hybriddatasikkerhet oppretter en ISO-fil. Deretter bruker du ISO til å konfigurere verten for hybriddatasikkerhet.
| 1 |
På maskinens kommandolinje angir du riktig kommando for miljøet: I vanlige miljøer: I FedRAMP-miljøer: Dette trinnet rydder opp tidligere HDS-installasjonsverktøy bilder. Hvis det ikke finnes noen tidligere bilder, returnerer det en feil som du kan ignorere. |
| 2 |
Skriv inn følgende for å logge på Docker-bilderegisteret: |
| 3 |
Skriv inn denne hashen når du blir bedt om passord: |
| 4 |
Last ned det nyeste stabile bildet for miljøet ditt: I vanlige miljøer: I FedRAMP-miljøer: |
| 5 |
Når trekket er fullført, skriver du inn riktig kommando for ditt miljø:
Når containeren kjører, ser du "Express server lytter på port 8080." |
| 6 |
Installasjonsverktøyet støtter ikke tilkobling til localhost via http://localhost:8080. Bruk http://127.0.0.1:8080 for å koble til localhost. Bruk en nettleser til å gå til localhost, Verktøyet bruker denne første oppføringen av brukernavnet til å angi riktig miljø for kontoen. Verktøyet viser deretter standard påloggingsmelding. |
| 7 |
Når du blir bedt om det, skriver du inn påloggingslegitimasjonen for Partner Hub-administrator, og klikker deretter på Logg på for å gi tilgang til de nødvendige tjenestene for hybriddatasikkerhet. |
| 8 |
Klikk på Kom i gang på oversiktssiden for oppsettsverktøyet. |
| 9 |
Klikk på Ja på siden ISO-import. |
| 10 |
Velg ISO-filen i nettleseren og last den opp. Sørg for tilkobling til databasen din for å utføre CMK-administrasjon. |
| 11 |
Gå til fanen Leietakers CMK-administrasjon , der du finner følgende tre måter å administrere leietakers CMK-er på.
|
| 12 |
Når CMK opprettes, endres statusen i tabellen fra CMK-administrasjon venter til CMK-administrert. |
| 13 |
Hvis opprettelsen av CMK mislykkes, vises en feilmelding. |
Fjern leietakerorganisasjoner
Før du begynner
Når de er fjernet, vil ikke brukere av kundeorganisasjoner kunne utnytte HDS for sine krypteringsbehov og vil miste alle eksisterende områder. Før du fjerner kundeorganisasjoner, må du kontakte din Cisco-partner eller kontoadministrator.
| 1 |
Logg på https://admin.webex.com. |
| 2 |
Velg Tjenester fra menyen til venstre på skjermen. |
| 3 |
Finn hybriddatasikkerhet under Skytjenester, og klikk på Vis alle. |
| 4 |
I fanen Ressurser klikker du på klyngen du vil fjerne kundeorganisasjoner fra. |
| 5 |
Klikk på Tilordnede kunder på siden som åpnes. |
| 6 |
Fra listen over kundeorganisasjoner som vises, klikker du på til høyre for kundeorganisasjonen du vil fjerne, og klikker på Fjern fra klynge. |
Hva du skal gjøre nå
Fullfør fjerningsprosessen ved å tilbakekalle kundeorganisasjonens CMK-er, som beskrevet i Tilbakekall CMK-er for leiere som er fjernet fra HDS.
Tilbakekall CMK-er for leiere som er fjernet fra HDS.
Før du begynner
Fjern kunder fra den aktuelle klyngen som beskrevet i Fjern leietakerorganisasjoner. Kjør HDS-installasjonsverktøyet for å fullføre fjerningsprosessen for kundeorganisasjonene som ble fjernet.
-
HDS-installasjonsverktøyet kjører som en Docker-beholder på en lokal maskin. Kjør Docker på maskinen for å få tilgang til den. Installasjonsprosessen krever legitimasjon for en Partner Hub-konto med fulle administratorrettigheter for organisasjonen din.
Hvis HDS-installasjonsverktøyet kjører bak en proxy i miljøet ditt, må du oppgi proxy-innstillingene (server, port, legitimasjon) gjennom Docker-miljøvariablene når du tar opp Docker-beholderen i trinn 5. Denne tabellen viser noen mulige miljøvariabler:
Beskrivelse
Variabel
HTTP-proxy uten autentisering
GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORTHTTPS-proxy uten autentisering
GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORTHTTP-proxy med autentisering
GLOBAL_AGENT_HTTP_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORTHTTPS-proxy med autentisering
GLOBAL_AGENT_HTTPS_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT -
ISO-konfigurasjonsfilen du genererer, inneholder hovednøkkelen som krypterer PostgreSQL- eller Microsoft SQL Server-databasen. Du trenger den nyeste kopien av denne filen hver gang du gjør konfigurasjonsendringer, for eksempel disse:
-
Databaselegitimasjon
-
Sertifikatoppdateringer
-
Endringer i godkjenningspolicyen
-
-
Hvis du planlegger å kryptere databasetilkoblinger, konfigurerer du distribusjonen av PostgreSQL eller SQL Server for TLS.
Installasjonsprosessen for hybriddatasikkerhet oppretter en ISO-fil. Deretter bruker du ISO til å konfigurere verten for hybriddatasikkerhet.
| 1 |
På maskinens kommandolinje angir du riktig kommando for miljøet: I vanlige miljøer: I FedRAMP-miljøer: Dette trinnet rydder opp tidligere HDS-installasjonsverktøy bilder. Hvis det ikke finnes noen tidligere bilder, returnerer det en feil som du kan ignorere. |
| 2 |
Skriv inn følgende for å logge på Docker-bilderegisteret: |
| 3 |
Skriv inn denne hashen når du blir bedt om passord: |
| 4 |
Last ned det nyeste stabile bildet for miljøet ditt: I vanlige miljøer: I FedRAMP-miljøer: |
| 5 |
Når trekket er fullført, skriver du inn riktig kommando for ditt miljø:
Når containeren kjører, ser du "Express server lytter på port 8080." |
| 6 |
Installasjonsverktøyet støtter ikke tilkobling til localhost via http://localhost:8080. Bruk http://127.0.0.1:8080 for å koble til localhost. Bruk en nettleser til å gå til localhost, Verktøyet bruker denne første oppføringen av brukernavnet til å angi riktig miljø for kontoen. Verktøyet viser deretter standard påloggingsmelding. |
| 7 |
Når du blir bedt om det, skriver du inn påloggingslegitimasjonen for Partner Hub-administrator, og klikker deretter på Logg på for å gi tilgang til de nødvendige tjenestene for hybriddatasikkerhet. |
| 8 |
Klikk på Kom i gang på oversiktssiden for oppsettsverktøyet. |
| 9 |
Klikk på Ja på siden ISO-import. |
| 10 |
Velg ISO-filen i nettleseren og last den opp. |
| 11 |
Gå til fanen Leietakers CMK-administrasjon , der du finner følgende tre måter å administrere leietakers CMK-er på.
|
| 12 |
Når CMK-opphevelse er fullført, vises ikke kundeorganisasjonen lenger i tabellen. |
| 13 |
Hvis CMK-tilbakekalling mislykkes, vises en feil. |
Test distribusjonen av hybrid datasikkerhet
Test distribusjonen av hybrid datasikkerhet
Før du begynner
-
Konfigurer distribusjonen av hybriddatasikkerhet for flere leietakere.
-
Sørg for at du har tilgang til syslog for å bekrefte at viktige forespørsler sendes til din distribusjon av hybriddatasikkerhet for flere leietakere.
| 1 |
Nøkler for et gitt område angis av skaperen av området. Logg på Webex-appen som en av brukerne av kundeorganisasjonen, og opprett deretter et område. Hvis du deaktiverer distribusjonen av hybriddatasikkerhet, er ikke innhold i områder som brukere oppretter, lenger tilgjengelig når de klientbufrede kopiene av krypteringsnøklene er erstattet. |
| 2 |
Send meldinger til det nye området. |
| 3 |
Kontroller syslog-utdataene for å bekrefte at nøkkelforespørslene sendes til distribusjonen av hybriddatasikkerhet. |
Overvåk sikkerhets helse for hybriddata
| 1 |
I Partner Hub velger du Tjenester fra menyen til venstre på skjermen. |
| 2 |
I delen Skytjenester finner du hybriddatasikkerhet og klikker på Rediger innstillinger. Siden Innstillinger for hybriddatasikkerhet vises.
|
| 3 |
Skriv inn én eller flere e-postadresser atskilt med komma i delen E-postvarsler, og trykk på Enter. |
Administrer HDS-distribusjonen din
Administrer HDS-distribusjon
Bruk oppgavene som er beskrevet her for å administrere distribusjonen av hybriddatasikkerhet.
Angi tidsplan for klyngeoppgradering
Slik angir du oppgraderingsplanen:
| 1 |
Logg på Partner Hub. |
| 2 |
Velg Tjenester fra menyen til venstre på skjermen. |
| 3 |
I delen Skytjenester finner du hybriddatasikkerhet og klikker på Konfigurer |
| 4 |
Velg klyngen på siden Hybrid Data Security Resources. |
| 5 |
Klikk på fanen Klyngeinnstillinger . |
| 6 |
Velg klokkeslett og tidssone for oppgraderingsplanen på siden Klyngeinnstillinger under Oppgraderingsplan. Merk: Under tidssonen vises neste tilgjengelige oppgraderingsdato og -klokkeslett. Du kan utsette oppgraderingen til neste dag ved å klikke på Utsett med 24 timer. |
Endre nodekonfigurasjonen
-
Endring av x.509-sertifikater på grunn av utløp eller andre årsaker.
Vi støtter ikke endring av CN-domenenavnet for et sertifikat. Domenet må samsvare med det opprinnelige domenet som ble brukt til å registrere klyngen.
-
Oppdaterer databaseinnstillinger for å endre til en kopi av PostgreSQL- eller Microsoft SQL Server-databasen.
Vi støtter ikke overføring av data fra PostgreSQL til Microsoft SQL Server, eller motsatt måte. Start en ny distribusjon av hybriddatasikkerhet for å bytte databasemiljøet.
-
Opprette en ny konfigurasjon for å klargjøre et nytt datasenter.
Av sikkerhetshensyn bruker Hybrid Data Security også passord for tjenestekontoer som har en levetid på ni måneder. Når HDS-installasjonsverktøyet har generert disse passordene, distribuerer du dem til hver av HDS-nodene i ISO-konfigurasjonsfilen. Når organisasjonens passord nærmer seg utløpsdato, mottar du et varsel fra Webex-teamet om å tilbakestille passordet for maskinkontoen din. (E-posten inneholder teksten "Bruk maskinkontoens API til å oppdatere passordet.") Hvis passordene dine ikke er utløpt ennå, gir verktøyet deg to alternativer:
-
Myk tilbakestilling– De gamle og de nye passordene fungerer begge i opptil 10 dager. Bruk denne perioden til å erstatte ISO-filen på nodene gradvis.
-
Hard tilbakestilling – De gamle passordene slutter å fungere umiddelbart.
Hvis passordene utløper uten tilbakestilling, påvirker det HDS-tjenesten din, noe som krever en umiddelbar hard tilbakestilling og erstatning av ISO-filen på alle noder.
Bruk denne fremgangsmåten til å generere en ny ISO-konfigurasjonsfil og bruke den på klyngen.
Før du begynner
-
HDS-installasjonsverktøyet kjører som en Docker-beholder på en lokal maskin. Kjør Docker på maskinen for å få tilgang til den. Installasjonsprosessen krever legitimasjon for en Partner Hub-konto med fullstendige partneradministratorrettigheter.
Hvis HDS-installasjonsverktøyet kjører bak en proxy i miljøet ditt, må du oppgi proxy-innstillingene (server, port, legitimasjon) gjennom Docker-miljøvariablene når du tar opp Docker-beholderen i 1.e. Denne tabellen viser noen mulige miljøvariabler:
Beskrivelse
Variabel
HTTP-proxy uten autentisering
GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORTHTTPS-proxy uten autentisering
GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORTHTTP-proxy med autentisering
GLOBAL_AGENT_HTTP_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORTHTTPS-proxy med autentisering
GLOBAL_AGENT_HTTPS_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT -
Du trenger en kopi av den gjeldende ISO-konfigurasjonsfilen for å generere en ny konfigurasjon. ISO inneholder hovednøkkelen som krypterer PostgreSQL- eller Microsoft SQL Server-databasen. Du trenger ISO når du gjør konfigurasjonsendringer, inkludert databaselegitimasjon, sertifikatoppdateringer eller endringer i godkjenningspolicyen.
| 1 |
Kjør HDS-installasjonsverktøyet ved hjelp av Docker på en lokal maskin. |
| 2 |
Hvis du bare kjører én HDS-node, oppretter du en ny hybrid datasikkerhetsnode VM og registrerer den ved hjelp av den nye ISO-konfigurasjonsfilen. Hvis du vil ha mer detaljerte instruksjoner, kan du se Opprette og registrere flere noder. |
| 3 |
Montere ISO-filen for eksisterende HDS-noder som kjører den eldre konfigurasjonsfilen. Utfør følgende prosedyre på hver node igjen, og oppdater hver node før du slår av neste node: |
| 4 |
Gjenta trinn 3 for å erstatte konfigurasjonen på hver gjenværende node som kjører den gamle konfigurasjonen. |
Slå av blokkert ekstern DNS-oppløsningsmodus
Når du registrerer en node eller sjekker nodens proxy-konfigurasjon, tester prosessen DNS-oppslag og tilkobling til Cisco Webex-skyen. Hvis nodens DNS-server ikke kan løse offentlige DNS-navn, går noden automatisk inn i modus for blokkert ekstern DNS-oppløsning.
Hvis nodene dine kan løse offentlige DNS-navn gjennom interne DNS-servere, kan du slå av denne modusen ved å kjøre proxy-tilkoblingstesten på nytt på hver node.
Før du begynner
| 1 |
Åpne nodegrensesnittet for hybriddatasikkerhet i en nettleser (IP-adresse/oppsett, for eksempel https://192.0.2.0/setup), angi administratorlegitimasjonen du har konfigurert for noden, og klikk deretter på Logg på. |
| 2 |
Gå til Oversikt (standardsiden). Når den er aktivert, settes Blokkert ekstern DNS-oppløsning til Ja. |
| 3 |
Gå til siden Klareringslager og proxy . |
| 4 |
Klikk på Kontroller proxy-tilkobling. Hvis du ser en melding om at den eksterne DNS-oppløsningen ikke var vellykket, kunne ikke noden nå DNS-serveren og vil forbli i denne modusen. Hvis ikke, etter at du har startet noden på nytt og gått tilbake til Oversikt -siden, skal Blokkert ekstern DNS-oppløsning settes til Nei. |
Hva du skal gjøre nå
Fjerne en node
| 1 |
Bruk VMware vSphere-klienten på datamaskinen til å logge på den virtuelle ESXi-verten og slå av den virtuelle maskinen. |
| 2 |
Fjern noden: |
| 3 |
Slett VM-en i vSphere-klienten. (Høyreklikk på VM i venstre navigasjonsrute, og klikk på Slett.) Hvis du ikke sletter VM-en, må du huske å avmontere ISO-konfigurasjonsfilen. Uten ISO-filen kan du ikke bruke VM til å få tilgang til sikkerhetsdataene dine. |
Katastrofegjenoppretting ved hjelp av standbydatasenter
Den mest kritiske tjenesten som din hybride datasikkerhetsklynge tilbyr, er oppretting og lagring av nøkler som brukes til å kryptere meldinger og annet innhold som er lagret i Webex-skyen. For hver bruker i organisasjonen som er tilordnet hybriddatasikkerhet, rutes nye forespørsler om nøkkeloppretting til klyngen. Klyngen er også ansvarlig for å returnere nøklene den er opprettet til brukere som er autorisert til å hente dem, for eksempel medlemmer av et samtaleområde.
Fordi klyngen utfører den kritiske funksjonen med å levere disse nøklene, er det viktig at klyngen forblir i drift og at riktige sikkerhetskopier opprettholdes. Tap av hybriddatasikkerhetsdatabasen eller konfigurasjons-ISO som brukes for skjemaet, vil føre til UGJENOPPRETTELIG TAP av kundeinnhold. Følgende fremgangsmåter er obligatoriske for å forhindre et slikt tap:
Hvis en katastrofe fører til at HDS-distribusjonen i det primære datasenteret blir utilgjengelig, følger du denne fremgangsmåten for å manuelt failover til standbydatasenteret.
Før du begynner
| 1 |
Start HDS-installasjonsverktøyet og følg trinnene som er nevnt i Opprett en konfigurasjons-ISO for HDS-verter. |
| 2 |
Fullfør konfigurasjonsprosessen og lagre ISO-filen på et sted som er lett å finne. |
| 3 |
Ta en sikkerhetskopi av ISO-filen på ditt lokale system. Behold sikkerhetskopien sikker. Denne filen inneholder en hovedkrypteringsnøkkel for databaseinnholdet. Begrens tilgangen til bare de hybriddatasikkerhetsadministratorene som skal foreta konfigurasjonsendringer. |
| 4 |
Høyreklikk på VM i venstre navigasjonsrute til VMware vSphere-klienten, og klikk på Rediger innstillinger. |
| 5 |
Klikk på Rediger innstillinger >CD/DVD-stasjon 1 og velg ISO-fil for datalager. Kontroller at Tilkoblet og Koble til ved påslått er merket av slik at oppdaterte konfigurasjonsendringer kan tre i kraft etter at nodene er startet. |
| 6 |
Slå på HDS-noden og sørg for at det ikke er noen alarmer i minst 15 minutter. |
| 7 |
Registrer noden i Partner Hub. Se Registrer den første noden i klyngen. |
| 8 |
Gjenta prosessen for hver node i standbydatasenteret. |
Hva du skal gjøre nå
(Valgfritt) Fjern ISO etter HDS-konfigurasjon
Standard HDS-konfigurasjon kjøres med ISO-montert. Men noen kunder foretrekker ikke å forlate ISO-filer kontinuerlig montert. Du kan avmontere ISO-filen etter at alle HDS-nodene har tatt opp den nye konfigurasjonen.
Du bruker fortsatt ISO-filene til å foreta konfigurasjonsendringer. Når du oppretter en ny ISO eller oppdaterer en ISO gjennom installasjonsverktøyet, må du montere den oppdaterte ISO-en på alle HDS-nodene dine. Når alle nodene har plukket opp konfigurasjonsendringene, kan du avmontere ISO-en igjen med denne fremgangsmåten.
Før du begynner
Oppgrader alle HDS-nodene dine til versjon 2021.01.22.4720 eller nyere.
| 1 |
Slå av en av HDS-nodene dine. |
| 2 |
Velg HDS-noden i vCenter Server Appliance. |
| 3 |
Velg og fjern merket for ISO-fil for datalager. |
| 4 |
Slå på HDS-noden og sørg for at det ikke er noen alarmer i minst 20 minutter. |
| 5 |
Gjenta for hver HDS-node i sin tur. |
Feilsøke hybrid datasikkerhet
Vis varsler og feilsøking
En distribusjon av hybriddatasikkerhet anses som utilgjengelig hvis alle nodene i klyngen ikke er tilgjengelige, eller klyngen fungerer så sakte at forespørslene blir tidsavbrutt. Hvis brukere ikke kan nå din hybride datasikkerhetsklynge, opplever de følgende symptomer:
-
Nye områder kan ikke opprettes (kan ikke opprette nye nøkler)
-
Meldinger og områdetitler kan ikke dekrypteres for:
-
Nye brukere lagt til i et område (kan ikke hente nøkler)
-
Eksisterende brukere i et område som bruker en ny klient (kan ikke hente nøkler)
-
-
Eksisterende brukere i et område vil fortsette å kjøre vellykket så lenge klientene deres har en hurtigbuffer med krypteringsnøklene
Det er viktig at du overvåker den hybride datasikkerhetsklyngen riktig og adresserer eventuelle varsler umiddelbart for å unngå tjenesteavbrudd.
Varsler
Hvis det er et problem med oppsettet av hybriddatasikkerhet, viser Partner Hub varsler til organisasjonens administrator og sender e-post til den konfigurerte e-postadressen. Varslene dekker mange vanlige scenarier.
|
Varsel |
Handling |
|---|---|
|
Feil ved tilgang til lokal database. |
Se etter databasefeil eller lokale nettverksproblemer. |
|
Feil ved lokal databasetilkobling. |
Kontroller at databaseserveren er tilgjengelig, og at riktig tjenestekontolegitimasjon ble brukt i nodekonfigurasjonen. |
|
Feil ved tilgang til skytjeneste. |
Kontroller at nodene har tilgang til Webex-serverne som angitt i Krav til ekstern tilkobling. |
|
Fornye registrering av skytjeneste. |
Registrering til skytjenester ble avbrutt. Fornyelse av registrering pågår. |
|
Registrering av skytjeneste avbrutt. |
Registrering til skytjenester avsluttet. Tjenesten er stengt. |
|
Tjenesten er ikke aktivert ennå. |
Aktiver HDS i Partner Hub. |
|
Konfigurert domene samsvarer ikke med serversertifikatet. |
Kontroller at serversertifikatet samsvarer med det konfigurerte tjenesteaktiveringsdomenet. Den mest sannsynlige årsaken er at sertifikatets CN nylig ble endret og nå er forskjellig fra CN som ble brukt under den første installasjonen. |
|
Kunne ikke autentisere seg til skytjenester. |
Sjekk for nøyaktighet og mulig utløp av legitimasjon for tjenestekontoen. |
|
Kunne ikke åpne lokal nøkkelbutikkfil. |
Kontroller integritet og passordnøyaktighet på den lokale nøkkelbutikkfilen. |
|
Det lokale serversertifikatet er ugyldig. |
Kontroller serversertifikatets utløpsdato og bekreft at det ble utstedt av en klarert sertifiseringsinstans. |
|
Kan ikke legge ut måledata. |
Kontroller lokal nettverkstilgang til eksterne skytjenester. |
|
/media/configdrive/hds-katalog finnes ikke. |
Kontroller konfigurasjonen av ISO-monteringen på virtuell vert. Kontroller at ISO-filen finnes, at den er konfigurert til å monteres ved omstart, og at den monteres. |
|
Oppsett av leietakerorganisasjon er ikke fullført for de tilførte organisasjonene |
Fullfør oppsettet ved å opprette CMK-er for nylig tillagte leietakerorganisasjoner ved hjelp av HDS-installasjonsverktøyet. |
|
Oppsett av leietakerorganisasjon er ikke fullført for fjernede organisasjoner |
Fullfør oppsettet ved å tilbakekalle CMK-er for leietakerorganisasjoner som ble fjernet ved hjelp av HDS-installasjonsverktøyet. |
Feilsøke hybrid datasikkerhet
| 1 |
Se gjennom Partner Hub for eventuelle varsler og fikse eventuelle elementer du finner der. Se bildet nedenfor for referanse. |
| 2 |
Se gjennom syslog-serverens utdata for aktivitet fra distribusjonen av hybriddatasikkerhet. Filtrer etter ord som "Advarsel" og "Feil" for å hjelpe til med feilsøking. |
| 3 |
Kontakt Ciscos kundestøtte. |
Andre merknader
Kjente problemer for hybrid datasikkerhet
-
Hvis du avslutter klyngen for hybriddatasikkerhet (ved å slette den i Partner Hub eller ved å avslutte alle noder), mister konfigurasjons-ISO-filen eller mister tilgangen til nøkkelbutikkdatabasen, kan ikke Webex-appbrukere i kundeorganisasjoner lenger bruke områder under Personer-listen sin som ble opprettet med nøkler fra KMS. Vi har for øyeblikket ingen løsning eller løsning på dette problemet, og vi oppfordrer deg til ikke å avslutte HDS-tjenestene når de håndterer aktive brukerkontoer.
-
En klient som har en eksisterende ECDH-tilkobling til en KMS opprettholder denne tilkoblingen i en tidsperiode (sannsynligvis én time).
Bruk OpenSSL til å generere en PKCS12-fil
Før du begynner
-
OpenSSL er et verktøy som kan brukes til å lage PKCS12-filen i riktig format for lasting i HDS-installasjonsverktøyet. Det finnes andre måter å gjøre dette på, og vi støtter ikke eller fremmer en måte fremfor en annen.
-
Hvis du velger å bruke OpenSSL, tilbyr vi denne prosedyren som en veiledning for å hjelpe deg med å opprette en fil som oppfyller X.509-sertifikatkravene i X.509-sertifikatkrav. Forstå disse kravene før du fortsetter.
-
Installer OpenSSL i et støttet miljø. Se https://www.openssl.org for programvare og dokumentasjon.
-
Opprett en privat nøkkel.
-
Start denne prosedyren når du mottar serversertifikatet fra Certificate Authority (CA).
| 1 |
Når du mottar serversertifikatet fra din CA, lagrer du det som |
| 2 |
Vis sertifikatet som tekst og bekreft detaljene.
|
| 3 |
Bruk et tekstredigeringsprogram til å opprette en sertifikatbuntfil kalt
|
| 4 |
Opprett .p12-filen med det vennlige navnet
|
| 5 |
Kontroller serversertifikatdetaljene. |
Hva du skal gjøre nå
Gå tilbake til Fullfør forutsetningene for hybrid datasikkerhet. Du bruker hdsnode.p12 -filen og passordet du har angitt for den, i Opprett en konfigurasjons-ISO for HDS-verter.
Du kan bruke disse filene på nytt for å be om et nytt sertifikat når det opprinnelige sertifikatet utløper.
Trafikk mellom HDS-nodene og skyen
Utgående metrikkinnsamlingstrafikk
Nodene for hybriddatasikkerhet sender visse målinger til Webex-skyen. Disse inkluderer systemmålinger for maks. heap, heap brukt, CPU-belastning og antall tråder, målinger på synkrone og asynkrone tråder, målinger på varsler som involverer en terskel for krypteringstilkoblinger, ventetid eller lengde på en forespørselskø, målinger på datalageret og krypteringstilkoblingsmålinger. Nodene sender kryptert nøkkelmateriale over en kanal utenfor båndet (atskilt fra forespørselen).
Innkommende trafikk
Nodene for hybriddatasikkerhet mottar følgende typer innkommende trafikk fra Webex-skyen:
-
Krypteringsforespørsler fra klienter som rutes av krypteringstjenesten
-
Oppgraderinger til nodeprogramvaren
Konfigurere Squid-proxyer for hybriddatasikkerhet
Websocket kan ikke koble til via Squid-proxy
Squid-proxyer som inspiserer HTTPS-trafikk kan forstyrre etableringen av websocket-tilkoblinger (wss:) som hybriddatasikkerhet krever. Disse delene gir veiledning om hvordan du konfigurerer forskjellige versjoner av Squid til å ignorere wss: trafikk for riktig drift av tjenestene.
Squid 4 og 5
Legg til on_unsupported_protocol direktivet i squid.conf:
on_unsupported_protocol tunnel alleSquid 3.5.27
Vi testet hybriddatasikkerhet med følgende regler lagt til i squid.conf. Disse reglene kan endres etter hvert som vi utvikler funksjoner og oppdaterer Webex-skyen.
acl wssMercuryConnection ssl::server_name_regex mercury-tilkobling ssl_bump splice wssMercuryConnection acl step1 at_step SslBump1 acl step2 at_step SslBump2 acl step3 at_step SslBump3 ssl_bump titte step1 alle ssl_bump stirre step2 alle ssl_bump bump step3 alleNy og endret informasjon
Ny og endret informasjon
Denne tabellen dekker nye funksjoner eller funksjonalitet, endringer i eksisterende innhold og eventuelle store feil som ble løst i distribusjonsveiledningen for hybriddatasikkerhet for flere leietakere.
|
Dato |
Endringer gjort |
|---|---|
|
30. januar 2025 |
La til SQL-serverversjon 2022 i listen over støttede SQL-servere i Krav til databaseserver. |
|
15. januar 2025 |
Lagt til begrensninger for hybriddatasikkerhet for flere leietakere. |
|
08. januar 2025 |
La til en merknad i Utfør innledende konfigurering og nedlasting av installasjonsfiler som sier at det er et viktig trinn i installasjonsprosessen å klikke på Konfigurer på HDS-kortet i Partner Hub. |
|
07. januar 2025 |
Oppdaterte krav til virtuell vert, oppgaveflyt for distribusjon av hybrid datasikkerhet og Installer HDS Host OVA for å vise nye krav til ESXi 7.0. |
|
13. desember 2024 |
Først publisert. |
Deaktivere hybriddatasikkerhet for flere leietakere
Oppgaveflyt for deaktivering av HDS for flere leietakere
Følg disse trinnene for å deaktivere HDS for flere leietakere fullstendig.
Før du begynner
| 1 |
Fjern alle kunder fra alle klyngene dine, som nevnt i Fjern leietakerorganisasjoner. |
| 2 |
Tilbakekall CMK-er for alle kunder, som nevnt i Tilbakekall CMK-er for leiere som er fjernet fra HDS.. |
| 3 |
Fjern alle noder fra alle klyngene dine, som nevnt i Fjern en node. |
| 4 |
Slett alle klyngene dine fra Partner Hub ved hjelp av én av følgende to metoder.
|
| 5 |
Klikk på fanen Innstillinger på oversiktssiden for hybriddatasikkerhet, og klikk på Deaktiver HDS på HDS-statuskortet. |
Kom i gang med hybriddatasikkerhet for flere leietakere
Oversikt over hybriddatasikkerhet for flere leietakere
Fra dag én har datasikkerhet vært hovedfokuset i utformingen av Webex-appen. Hjørnesteinen i denne sikkerheten er innholdskryptering fra ende-til-ende, aktivert av Webex-appklienter som samhandler med Key Management Service (KMS). KMS er ansvarlig for å opprette og administrere kryptografiske nøkler som klienter bruker til dynamisk kryptering og dekryptering av meldinger og filer.
Som standard får alle Webex-appkunder ende-til-ende-kryptering med dynamiske nøkler lagret i skyen KMS, i Ciscos sikkerhetsområde. Hybrid Data Security flytter KMS og andre sikkerhetsrelaterte funksjoner til bedriftens datasenter, så ingen andre enn deg har nøklene til ditt krypterte innhold.
Hybriddatasikkerhet med flere leietakere gjør det mulig for organisasjoner å utnytte HDS gjennom en klarert lokal partner, som kan fungere som tjenesteleverandør og administrere lokal kryptering og andre sikkerhetstjenester. Dette oppsettet gjør det mulig for partnerorganisasjonen å ha full kontroll over distribusjon og administrasjon av krypteringsnøkler og sikrer at brukerdata fra kundeorganisasjoner er trygge mot ekstern tilgang. Partnerorganisasjoner setter opp HDS-forekomster og oppretter HDS-klynger etter behov. Hver forekomst kan støtte flere kundeorganisasjoner i motsetning til en vanlig HDS-distribusjon som er begrenset til én enkelt organisasjon.
Dette gjør det også mulig for mindre organisasjoner å utnytte HDS, siden tjeneste for nøkkeladministrasjon og sikkerhetsinfrastruktur som datasentre eies av den klarerte lokale partneren.
Hvordan hybriddatasikkerhet for flere leietakere gir datasuverenitet og datakontroll
- Brukergenerert innhold er beskyttet mot ekstern tilgang, for eksempel skytjenesteleverandører.
- Lokale klarerte partnere administrerer krypteringsnøklene til kunder de allerede har etablert relasjoner med.
- Alternativ for lokal teknisk støtte, hvis den leveres av partneren.
- Støtter innhold i møter, meldinger og anrop.
Dette dokumentet er ment å hjelpe partnerorganisasjoner med å konfigurere og administrere kunder under et hybriddatasikkerhetssystem for flere leietakere.
Begrensninger for hybriddatasikkerhet for flere leietakere
- Partnerorganisasjoner kan ikke ha noen eksisterende HDS-distribusjon aktiv i Control Hub.
- Leier- eller kundeorganisasjoner som ønsker å bli administrert av en partner, må ikke ha noen eksisterende HDS-distribusjon i Control Hub.
- Når Multi-Tenant HDS er distribuert av partneren, begynner alle brukere av kundeorganisasjoner samt brukere av partnerorganisasjonen å bruke Multi-Tenant HDS for sine krypteringstjenester.
Partnerorganisasjonen og kundeorganisasjonene de administrerer, vil være på samme HDS-distribusjon for flere leietakere.
Partnerorganisasjonen vil ikke lenger bruke sky-KMS etter at multi-tenant HDS er distribuert.
- Det finnes ingen mekanisme for å flytte nøkler tilbake til Cloud KMS etter en HDS-distribusjon.
- For øyeblikket kan hver HDS-distribusjon for flere leietakere bare ha én klynge, med flere noder under den.
- Administratorroller har visse begrensninger. Se avsnittet nedenfor for detaljer.
Roller i hybriddatasikkerhet for flere leietakere
- Fullstendig partneradministrator – Kan administrere innstillinger for alle kunder som partneren administrerer. Kan også tilordne administratorroller til eksisterende brukere i organisasjonen og tilordne bestemte kunder som skal administreres av partneradministratorer.
- Partneradministrator – Kan administrere innstillinger for kunder som administratoren har klargjort, eller som er tilordnet brukeren.
- Fullverdig administrator – Administrator for partnerorganisasjonen som er autorisert til å utføre oppgaver som å endre organisasjonsinnstillinger, administrere lisenser og tilordne roller.
- Oppsett og administrasjon av HDS med flere leietakere fra ende til ende for alle kundeorganisasjoner – fullstendig partneradministrator og fullstendige administratorrettigheter kreves.
- Administrasjon av tilordnede leietakerorganisasjoner – Partneradministrator og fullstendige administratorrettigheter kreves.
Sikkerhetsområde arkitektur
Webex-skyarkitekturen skiller forskjellige typer tjenester inn i separate områder, eller klareringsdomener, som vist nedenfor.
For å forstå hybrid datasikkerhet ytterligere, la oss først se på dette rene skytilfellet, der Cisco leverer alle funksjonene i sine skyområder. Identitetstjenesten, det eneste stedet der brukere kan være direkte korrelert med sine personopplysninger, for eksempel e-postadresse, er logisk og fysisk adskilt fra sikkerhetsområdet i datasenter B. Begge er i sin tur adskilt fra området der kryptert innhold lagres, i datasenter C.
I dette diagrammet er klienten Webex-appen som kjører på en brukers bærbare datamaskin, og er godkjent med identitetstjenesten. Når brukeren skriver en melding som skal sendes til et område, utføres følgende trinn:
-
Klienten oppretter en sikker tilkobling til nøkkeladministrasjonstjenesten (KMS), og ber deretter om en nøkkel for å kryptere meldingen. Den sikre tilkoblingen bruker ECDH, og KMS krypterer nøkkelen ved hjelp av en hovednøkkel AES-256.
-
Meldingen krypteres før den forlater klienten. Klienten sender det til indekseringstjenesten, som oppretter krypterte søkeindekser for å hjelpe i fremtidige søk etter innholdet.
-
Den krypterte meldingen sendes til samsvarstjenesten for kontroll av samsvar.
-
Den krypterte meldingen lagres i lagringsområdet.
Når du distribuerer hybrid datasikkerhet, flytter du sikkerhetsområdefunksjonene (KMS, indeksering og samsvar) til det lokale datasenteret. De andre skytjenestene som utgjør Webex (inkludert identitets- og innholdslagring) forblir i Ciscos områder.
Samarbeide med andre organisasjoner
Brukere i organisasjonen kan regelmessig bruke Webex-appen til å samarbeide med eksterne deltakere i andre organisasjoner. Når en av brukerne ber om en nøkkel for et område som eies av organisasjonen din (fordi det ble opprettet av en av brukerne), sender KMS nøkkelen til klienten via en ECDH-sikret kanal. Når en annen organisasjon eier nøkkelen for området, sender KMS imidlertid forespørselen ut til Webex-skyen via en egen ECDH-kanal for å hente nøkkelen fra den aktuelle KMS, og returnerer deretter nøkkelen til brukeren din på den opprinnelige kanalen.
KMS-tjenesten som kjører på Org A, validerer tilkoblingene til KMS i andre organisasjoner ved hjelp av x.509 PKI-sertifikater. Se Forbered miljøet hvis du vil ha mer informasjon om hvordan du genererer et x.509-sertifikat som skal brukes med distribusjonen av hybriddatasikkerhet for flere leietakere.
Forventninger til distribusjon av hybrid datasikkerhet
En distribusjon av hybrid datasikkerhet krever betydelig forpliktelse og bevissthet om risikoene som følger med å eie krypteringsnøkler.
For å distribuere hybrid datasikkerhet må du oppgi:
-
Et sikkert datasenter i et land som er et støttet sted for Cisco Webex Teams-planene.
-
Utstyret, programvaren og nettverkstilgangen som er beskrevet i Forbered miljøet.
Fullstendig tap av enten konfigurasjons-ISO-en du bygger for hybriddatasikkerhet eller databasen du leverer, vil føre til tap av nøklene. Nøkkeltap hindrer brukere i å dekryptere områdeinnhold og andre krypterte data i Webex-appen. Hvis dette skjer, kan du bygge en ny distribusjon, men bare nytt innhold vil være synlig. For å unngå tap av tilgang til data må du:
-
Administrer sikkerhetskopiering og gjenoppretting av databasen og konfigurasjons-ISO.
-
Vær forberedt på å utføre rask katastrofegjenoppretting hvis en katastrofe oppstår, for eksempel databasediskfeil eller datasenterkatastrofe.
Det finnes ingen mekanisme for å flytte nøkler tilbake til skyen etter en HDS-distribusjon.
Oppsettsprosess på høyt nivå
Dette dokumentet dekker oppsettet og administrasjonen av en distribusjon av hybriddatasikkerhet for flere leietakere:
-
Konfigurere hybrid datasikkerhet – Dette inkluderer klargjøring av nødvendig infrastruktur og installering av hybrid datasikkerhetsprogramvare, bygging av en HDS-klynge, tillegging av leierorganisasjoner i klyngen og administrasjon av kundens hovednøkler (CMK-er). Dette vil gjøre det mulig for alle brukere i kundeorganisasjonene dine å bruke den hybride datasikkerhetsklyngen til sikkerhetsfunksjoner.
Installasjons-, aktiverings- og administrasjonsfasene er beskrevet i detalj i de neste tre kapitlene.
-
Oppretthold distribusjonen av hybrid datasikkerhet – Webex-skyen gir automatisk pågående oppgraderinger. IT-avdelingen din kan gi støtte på nivå én for denne distribusjonen, og engasjere Cisco-støtte etter behov. Du kan bruke varsler på skjermen og konfigurere e-postbaserte varsler i Partner Hub.
-
Forstå vanlige varsler, feilsøkingstrinn og kjente problemer– Hvis du har problemer med å distribuere eller bruke hybriddatasikkerhet, kan det siste kapitlet i denne veiledningen og vedlegget Kjente problemer hjelpe deg med å finne og løse problemet.
Distribusjonsmodell for hybrid datasikkerhet
I bedriftens datasenter distribuerer du hybrid datasikkerhet som én klynge med noder på separate virtuelle verter. Nodene kommuniserer med Webex-skyen via sikre websockets og sikre HTTP.
Under installasjonsprosessen gir vi deg OVA-filen for å konfigurere det virtuelle apparatet på VM-ene du leverer. Du bruker HDS-installasjonsverktøyet til å opprette en egendefinert ISO-fil for klyngekonfigurasjon som du monterer på hver node. Den hybride datasikkerhetsklyngen bruker den oppgitte Syslogd-serveren og PostgreSQL- eller Microsoft SQL Server-databasen. (Du konfigurerer Syslogd- og databasetilkoblingsdetaljene i HDS-installasjonsverktøyet.)
Minimum antall noder du kan ha i en klynge, er to. Vi anbefaler minst tre per klynge. Å ha flere noder sikrer at tjenesten ikke avbrytes under en programvareoppgradering eller annen vedlikeholdsaktivitet på en node. (Webex-skyen oppgraderer bare én node om gangen.)
Alle noder i en klynge får tilgang til samme nøkkeldatalager og loggaktivitet til samme syslog-server. Nodene selv er statsløse, og håndterer nøkkelforespørsler på rund-robin-modus, som styres av skyen.
Noder blir aktive når du registrerer dem i Partner Hub. Hvis du vil ta en individuell node ut av drift, kan du avregistrere den og senere registrere den på nytt om nødvendig.
Standby Data Center for katastrofegjenoppretting
Under distribusjonen setter du opp et sikkert standbydatasenter. I tilfelle en datasenterkatastrofe, kan du manuelt mislykkes distribusjonen til standbydatasenteret.
Databasene til de aktive datasentrene og standbydatasentrene er synkronisert med hverandre, noe som vil minimere tiden det tar å utføre failover.
De aktive nodene for hybriddatasikkerhet må alltid være i samme datasenter som den aktive databaseserveren.
Proxy-støtte
Hybrid Data Security støtter eksplisitte, gjennomsiktige inspeksjons- og ikke-inspeksjons-proxyer. Du kan knytte disse proxyene til distribusjonen slik at du kan sikre og overvåke trafikk fra bedriften og ut til skyen. Du kan bruke et plattformadministratorgrensesnitt på nodene for sertifikatadministrasjon og for å kontrollere den generelle tilkoblingsstatusen etter at du har konfigurert proxyen på nodene.
Nodene for hybriddatasikkerhet støtter følgende proxy-alternativer:
-
Ingen proxy – Standard hvis du ikke bruker HDS-nodeoppsettet Trust Store & Proxy-konfigurasjonen til å integrere en proxy. Ingen sertifikatoppdatering er nødvendig.
-
Gjennomsiktig ikke-inspeksjons-proxy– Nodene er ikke konfigurert til å bruke en bestemt proxy-serveradresse og bør ikke kreve endringer for å fungere med en ikke-inspeksjons-proxy. Ingen sertifikatoppdatering er nødvendig.
-
Gjennomsiktig tunnelering eller inspeksjons-proxy– Nodene er ikke konfigurert til å bruke en bestemt proxy-serveradresse. Ingen endringer i HTTP- eller HTTPS-konfigurasjonen er nødvendig på nodene. Nodene trenger imidlertid et rotsertifikat slik at de stoler på proxyen. Inspeksjons-proxyer brukes vanligvis av IT til å håndheve retningslinjer for hvilke nettsteder som kan besøkes og hvilke typer innhold som ikke er tillatt. Denne typen proxy dekrypterer all trafikken din (til og med HTTPS).
-
Eksplisitt proxy – Med eksplisitt proxy forteller du HDS-nodene hvilken proxy-server og godkjenningsskjema som skal brukes. Hvis du vil konfigurere en eksplisitt proxy, må du angi følgende informasjon på hver node:
-
Proxy-IP/FQDN – Adresse som kan brukes til å nå proxy-maskinen.
-
Proxy-port – Et portnummer som proxyen bruker til å lytte etter proxy-trafikk.
-
Proxy-protokoll – Avhengig av hva proxy-serveren støtter, velger du mellom følgende protokoller:
-
HTTP – viser og kontrollerer alle forespørsler som klienten sender.
-
HTTPS – Gir en kanal til serveren. Klienten mottar og validerer serverens sertifikat.
-
-
Godkjenningstype– velg blant følgende godkjenningstyper:
-
Ingen – Ingen ytterligere godkjenning er nødvendig.
Tilgjengelig hvis du velger enten HTTP eller HTTPS som proxy-protokoll.
-
Grunnleggende – Brukes for en HTTP-brukeragent til å oppgi brukernavn og passord når du foretar en forespørsel. Bruker Base64-koding.
Tilgjengelig hvis du velger enten HTTP eller HTTPS som proxy-protokoll.
Krever at du skriver inn brukernavn og passord for hver node.
-
Sammendrag – Brukes til å bekrefte kontoen før sensitiv informasjon sendes. Bruker en hash-funksjon på brukernavnet og passordet før det sendes over nettverket.
Bare tilgjengelig hvis du velger HTTPS som proxy-protokoll.
Krever at du skriver inn brukernavn og passord for hver node.
-
-
Eksempel på noder og proxy for hybriddatasikkerhet
Dette diagrammet viser en eksempelkobling mellom hybriddatasikkerhet, nettverk og en proxy. For gjennomsiktig inspeksjon og eksplisitt HTTPS-inspeksjons-proxy-alternativer, må det samme rotsertifikatet være installert på proxyen og på nodene for hybriddatasikkerhet.
Blokkert ekstern DNS-oppløsningsmodus (eksplisitte proxy-konfigurasjoner)
Når du registrerer en node eller sjekker nodens proxy-konfigurasjon, tester prosessen DNS-oppslag og tilkobling til Cisco Webex-skyen. I distribusjoner med eksplisitte proxy-konfigurasjoner som ikke tillater ekstern DNS-oppløsning for interne klienter, går den automatisk inn i blokkert ekstern DNS-oppløsning-modus hvis noden ikke kan spørre DNS-serverne. I denne modusen kan noderegistrering og andre proxy-tilkoblingstester fortsette.
Forbered miljøet ditt
Krav til hybriddatasikkerhet for flere leietakere
Krav til Cisco Webex-lisens
Slik distribuerer du hybriddatasikkerhet for flere leietakere:
-
Partnerorganisasjoner: Kontakt din Cisco-partner eller kontoadministrator og sørg for at funksjonen for flere leietakere er aktivert.
-
Leietakerorganisasjoner: Du må ha Pro Pack for Cisco Webex Control Hub. (Se https://www.cisco.com/go/pro-pack.)
Krav til Docker-skrivebord
Før du installerer HDS-nodene, trenger du Docker Desktop for å kjøre et installasjonsprogram. Docker oppdaterte nylig sin lisensieringsmodell. Organisasjonen din kan kreve et betalt abonnement på Docker Desktop. Hvis du vil ha mer informasjon, kan du se innlegget til Docker-bloggen, «Docker oppdaterer og utvider våre produktabonnementer».
X.509-sertifikatkrav
Sertifikatkjeden må oppfylle følgende krav:
|
Krav |
Detaljer |
|---|---|
|
Som standard stoler vi på sertifiseringsinstansene i Mozilla-listen (med unntak av WoSign og StartCom) på https://wiki.mozilla.org/CA:IncludedCAs. |
|
CN trenger ikke å være tilgjengelig eller en direkte vert. Vi anbefaler at du bruker et navn som gjenspeiler organisasjonen din, for eksempel CN kan ikke inneholde et * (jokertegn). CN brukes til å bekrefte nodene for hybriddatasikkerhet til Webex-appklienter. Alle nodene for hybriddatasikkerhet i klyngen bruker det samme sertifikatet. KMS identifiserer seg selv ved hjelp av CN-domenet, ikke et domene som er definert i x.509v3 SAN-feltene. Når du har registrert en node med dette sertifikatet, støtter vi ikke endring av CN-domenenavnet. |
|
KMS-programvaren støtter ikke SHA1-signaturer for validering av tilkoblinger til andre organisasjons KMS-er. |
|
Du kan bruke en konverter som OpenSSL til å endre sertifikatets format. Du må angi passordet når du kjører HDS-installasjonsverktøyet. |
KMS-programvaren håndhever ikke nøkkelbruk eller utvidede begrensninger for nøkkelbruk. Noen sertifikatmyndigheter krever at utvidede nøkkelbruksbegrensninger brukes på hvert sertifikat, for eksempel servergodkjenning. Det er greit å bruke servergodkjenningen eller andre innstillinger.
Krav til virtuell vert
De virtuelle vertene som du vil konfigurere som Hybrid Data Security-noder i klyngen har følgende krav:
-
Minst to separate verter (3 anbefales) plassert i samme sikre datasenter
-
VMware ESXi 7.0 (eller nyere) installert og kjører.
Du må oppgradere hvis du har en tidligere versjon av ESXi.
-
Minimum 4 vCPU-er, 8 GB hovedminne, 30 GB lokalt harddiskplass per server
Krav til databaseserver
Opprett en ny database for nøkkellagring. Ikke bruk standarddatabasen. HDS-programmene oppretter databaseskjemaet når de er installert.
Det finnes to alternativer for databaseserver. Kravene til hver av dem er som følger:
|
PostgreSql |
Microsoft SQL Server |
|---|---|
|
|
|
Minimum 8 vCPU-er, 16 GB hovedminne, tilstrekkelig harddiskplass og overvåking for å sikre at det ikke overskrides (2 TB anbefales hvis du vil kjøre databasen i lang tid uten å måtte øke lagringsplassen) |
Minimum 8 vCPU-er, 16 GB hovedminne, tilstrekkelig harddiskplass og overvåking for å sikre at det ikke overskrides (2 TB anbefales hvis du vil kjøre databasen i lang tid uten å måtte øke lagringsplassen) |
HDS-programvaren installerer for øyeblikket følgende driverversjoner for kommunikasjon med databaseserveren:
|
PostgreSql |
Microsoft SQL Server |
|---|---|
|
Postgres JDBC driver 42.2.5 |
SQL Server JDBC driver 4.6 Denne driverversjonen støtter SQL Server Always On (Always On Failover Cluster Instances og Always On Availability Groups). |
Ytterligere krav for Windows-godkjenning mot Microsoft SQL Server
Hvis du vil at HDS-noder skal bruke Windows-godkjenning for å få tilgang til Keystore-databasen på Microsoft SQL Server, trenger du følgende konfigurasjon i miljøet ditt:
-
HDS-nodene, Active Directory-infrastrukturen og MS SQL Server må alle synkroniseres med NTP.
-
Windows-kontoen du oppgir til HDS-noder, må ha lese-/skrivetilgang til databasen.
-
DNS-serverne du leverer til HDS-noder, må kunne løse nøkkeldistribusjonssenteret (KDC).
-
Du kan registrere HDS-databaseforekomsten på Microsoft SQL Server som et tjenestehovednavn (SPN) i Active Directory. Se Registrer tjenestens hovednavn for Kerberos-tilkoblinger.
HDS-installasjonsverktøyet, HDS-oppstartsprogrammet og lokal KMS må bruke Windows-godkjenning for å få tilgang til nøkkelbutikkdatabasen. De bruker detaljene fra ISO-konfigurasjonen til å konstruere SPN-en når de ber om tilgang med Kerberos-godkjenning.
Krav til ekstern tilkobling
Konfigurer brannmuren slik at den tillater følgende tilkobling for HDS-programmene:
|
Applikasjon |
Protokoll |
Port |
Retning fra appen |
Destinasjon |
|---|---|---|---|---|
|
Noder for hybriddatasikkerhet |
tcp |
443 |
Utgående HTTPS og WSS |
|
|
HDS-oppsettsverktøy |
tcp |
443 |
Utgående HTTPS |
|
Nodene for hybriddatasikkerhet fungerer med oversettelse av nettverkstilgang (NAT) eller bak en brannmur, så lenge NAT eller brannmuren tillater de nødvendige utgående tilkoblingene til domenet-målene i tabellen ovenfor. Ingen porter skal være synlige fra Internett for tilkoblinger som går inn til nodene for hybriddatasikkerhet. I datasenteret trenger klienter tilgang til nodene for hybriddatasikkerhet på TCP-portene 443 og 22 av administrative grunner.
URL-adressene for Common Identity (CI)-vertene er områdespesifikke. Dette er de gjeldende CI-vertene:
|
Region |
URL-adresser for Common Identity Host |
|---|---|
|
Nord-Amerika |
|
|
Den europeiske union |
|
|
Canada |
|
| Singapore |
|
| De forente arabiske emirater |
|
Krav til proxy-server
-
Vi støtter offisielt følgende proxy-løsninger som kan integreres med nodene for hybriddatasikkerhet.
-
Gjennomsiktig proxy – Cisco Web Security Appliance (WSA).
-
Eksplisitt proxy – Squid.
Squid-proxyer som inspiserer HTTPS-trafikk kan forstyrre opprettelsen av websocket-tilkoblinger (wss:). Hvis du vil omgå dette problemet, kan du se Konfigurere Squid-proxyer for hybriddatasikkerhet.
-
-
Vi støtter følgende kombinasjoner av godkjenningstyper for eksplisitte proxyer:
-
Ingen godkjenning med HTTP eller HTTPS
-
Grunnleggende godkjenning med HTTP eller HTTPS
-
Digest-godkjenning kun med HTTPS
-
-
For en gjennomsiktig inspeksjons-proxy eller en eksplisitt HTTPS-proxy, må du ha en kopi av proxyens rotsertifikat. Distribusjonsinstruksjonene i denne veiledningen forteller deg hvordan du laster opp kopien til klareringslagrene for hybriddatasikkerhetsnodene.
-
Nettverket som er vert for HDS-nodene, må konfigureres til å tvinge utgående TCP-trafikk på port 443 til å rute gjennom proxyen.
-
Proxyer som inspiserer webtrafikk kan forstyrre Web Socket-tilkoblinger. Hvis dette problemet oppstår, vil det å omgå (ikke inspisere) trafikk til
wbx2.com, ogciscospark.comvil løse problemet.
Fullfør forutsetningene for hybrid datasikkerhet
| 1 |
Sørg for at partnerorganisasjonen din har HDS-funksjonen for flere leietakere aktivert og få legitimasjonen til en konto med fullstendig partneradministrator og fullstendige administratorrettigheter. Påse at Webex-kundeorganisasjonen er aktivert for Pro Pack for Cisco Webex Control Hub. Kontakt din Cisco-partner eller kontoadministrator for å få hjelp med denne prosessen. Kundeorganisasjoner skal ikke ha noen eksisterende HDS-distribusjon. |
| 2 |
Velg et domenenavn for HDS-distribusjonen (for eksempel |
| 3 |
Klargjør identiske virtuelle verter som du vil konfigurere som Hybrid Data Security-noder i klyngen. Du trenger minst to separate verter (3 anbefales) plassert i samme sikre datasenter, som oppfyller kravene i Krav til virtuelle verter. |
| 4 |
Klargjør databaseserveren som skal fungere som nøkkeldatalager for klyngen, i henhold til Databaseserverkrav. Databaseserveren må være plassert i det sikre datasenteret med de virtuelle vertene. |
| 5 |
For rask katastrofegjenoppretting konfigurerer du et sikkerhetskopieringsmiljø i et annet datasenter. Sikkerhetskopieringsmiljøet gjenspeiler produksjonsmiljøet til VM-er og en sikkerhetskopidatabaseserver. Hvis for eksempel produksjonen har 3 VM-er som kjører HDS-noder, skal sikkerhetskopieringsmiljøet ha 3 VM-er. |
| 6 |
Sett opp en syslog-vert for å samle inn logger fra nodene i klyngen. Samle nettverksadressen og syslog-porten (standard er UDP 514). |
| 7 |
Opprett en sikker sikkerhetskopieringspolicy for nodene for hybriddatasikkerhet, databaseserveren og syslog-verten. For å forhindre ugjenopprettelig tap av data må du som minimum sikkerhetskopiere databasen og konfigurasjonsfilen som genereres for nodene for hybriddatasikkerhet. Fordi nodene for hybriddatasikkerhet lagrer nøklene som brukes til kryptering og dekryptering av innhold, vil manglende vedlikehold av en operativ distribusjon føre til UGJENOPPRETTELIG TAP av dette innholdet. Webex-appklienter bufrer nøklene sine, så det kan hende at et driftsbrudd ikke er umiddelbart merkbart, men vil bli tydelig over tid. Selv om midlertidige avbrudd er umulig å forhindre, kan de gjenopprettes. Fullstendig tap (ingen sikkerhetskopieringer tilgjengelig) av enten databasen eller konfigurasjons-ISO-filen vil imidlertid føre til ugjenopprettbare kundedata. Operatørene av nodene for hybriddatasikkerhet forventes å opprettholde hyppige sikkerhetskopieringer av databasen og konfigurasjonsfilen, og være forberedt på å gjenoppbygge datasenteret for hybriddatasikkerhet hvis det oppstår en katastrofal feil. |
| 8 |
Kontroller at brannmurkonfigurasjonen tillater tilkobling for hybriddatasikkerhetsnodene som beskrevet i Krav til ekstern tilkobling. |
| 9 |
Installer Docker ( https://www.docker.com) på en hvilken som helst lokal maskin som kjører et støttet operativsystem (Microsoft Windows 10 Professional eller Enterprise 64-biters, eller Mac OSX Yosemite 10.10.3 eller nyere) med en nettleser som har tilgang til det på http://127.0.0.1:8080. Du bruker Docker-forekomsten til å laste ned og kjøre HDS-installasjonsverktøyet, som bygger den lokale konfigurasjonsinformasjonen for alle nodene for hybriddatasikkerhet. Du trenger kanskje en Docker Desktop-lisens. Se Krav til Docker Desktop for mer informasjon. For å installere og kjøre HDS-installasjonsverktøyet må den lokale maskinen ha tilkoblingen beskrevet i Krav til ekstern tilkobling. |
| 10 |
Hvis du integrerer en proxy med hybriddatasikkerhet, må du sørge for at den oppfyller kravene til proxy-serveren. |
Konfigurere en klynge for hybriddatasikkerhet
Oppgaveflyt for distribusjon av hybrid datasikkerhet
| 1 |
Utfør første konfigurasjon og last ned installasjonsfiler Last ned OVA-filen til din lokale maskin for senere bruk. |
| 2 |
Opprette en konfigurasjons-ISO for HDS-verter Bruk HDS-installasjonsverktøyet til å opprette en ISO-konfigurasjonsfil for nodene for hybriddatasikkerhet. |
| 3 |
Opprett en virtuell maskin fra OVA-filen og utfør første konfigurasjon, for eksempel nettverksinnstillinger. Alternativet for å konfigurere nettverksinnstillinger under OVA-distribusjon er testet med ESXi 7.0. Alternativet er kanskje ikke tilgjengelig i tidligere versjoner. |
| 4 |
Konfigurere VM for hybriddatasikkerhet Logg på VM-konsollen og angi påloggingslegitimasjonen. Konfigurer nettverksinnstillingene for noden hvis du ikke konfigurerte dem da OVA ble distribuert. |
| 5 |
Laste opp og montere konfigurasjons-ISO for HDS Konfigurer VM fra ISO-konfigurasjonsfilen du opprettet med HDS-installasjonsverktøyet. |
| 6 |
Konfigurere HDS-noden for proxy-integrering Hvis nettverksmiljøet krever proxy-konfigurasjon, angir du hvilken type proxy du vil bruke for noden, og legger til proxy-sertifikatet i klareringslageret om nødvendig. |
| 7 |
Registrer den første noden i klyngen Registrer VM med Cisco Webex-skyen som en hybrid datasikkerhetsnode. |
| 8 |
Opprett og registrer flere noder Fullfør klyngeoppsettet. |
| 9 |
Aktiver HDS for flere leietakere på Partner Hub. Aktiver HDS og administrer leierorganisasjoner på Partner Hub. |
Utfør første konfigurasjon og last ned installasjonsfiler
I denne oppgaven laster du ned en OVA-fil til maskinen din (ikke til serverne du konfigurerer som Hybrid Data Security-noder). Du bruker denne filen senere i installasjonsprosessen.
| 1 |
Logg på Partner Hub, og klikk deretter på Tjenester. |
| 2 |
Finn kortet for hybriddatasikkerhet under Skytjenester, og klikk deretter på Konfigurer. Å klikke på Konfigurer i Partner Hub er avgjørende for distribusjonsprosessen. Ikke fortsett med installasjonen uten å fullføre dette trinnet. |
| 3 |
Klikk på Legg til en ressurs , og klikk på Last ned .OVA-fil på kortet Installer og konfigurer programvare . Eldre versjoner av programvarepakken (OVA) vil ikke være kompatible med de nyeste oppgraderingene for hybriddatasikkerhet. Dette kan føre til problemer under oppgradering av programmet. Sørg for at du laster ned den nyeste versjonen av OVA-filen. Du kan også laste ned OVA når som helst fra Hjelp -delen. Klikk på . OVA-filen begynner automatisk å lastes ned. Lagre filen på en plassering på maskinen.
|
| 4 |
Du kan eventuelt klikke på Se distribusjonsveiledning for hybriddatasikkerhet for å sjekke om det finnes en senere versjon av denne veiledningen. |
Opprette en konfigurasjons-ISO for HDS-verter
Installasjonsprosessen for hybriddatasikkerhet oppretter en ISO-fil. Deretter bruker du ISO til å konfigurere verten for hybriddatasikkerhet.
Før du begynner
-
HDS-installasjonsverktøyet kjører som en Docker-beholder på en lokal maskin. Kjør Docker på maskinen for å få tilgang til den. Installasjonsprosessen krever legitimasjonen til en Partner Hub-konto med fulle administratorrettigheter.
Hvis HDS-installasjonsverktøyet kjører bak en proxy i miljøet ditt, må du oppgi proxy-innstillingene (server, port, legitimasjon) gjennom Docker-miljøvariablene når du tar opp Docker-beholderen i trinn 5 nedenfor. Denne tabellen viser noen mulige miljøvariabler:
Beskrivelse
Variabel
HTTP-proxy uten autentisering
GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORTHTTPS-proxy uten autentisering
GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORTHTTP-proxy med autentisering
GLOBAL_AGENT_HTTP_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORTHTTPS-proxy med autentisering
GLOBAL_AGENT_HTTPS_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT -
ISO-konfigurasjonsfilen du genererer, inneholder hovednøkkelen som krypterer PostgreSQL- eller Microsoft SQL Server-databasen. Du trenger den nyeste kopien av denne filen hver gang du gjør konfigurasjonsendringer, for eksempel disse:
-
Databaselegitimasjon
-
Sertifikatoppdateringer
-
Endringer i godkjenningspolicyen
-
-
Hvis du planlegger å kryptere databasetilkoblinger, konfigurerer du distribusjonen av PostgreSQL eller SQL Server for TLS.
| 1 |
På maskinens kommandolinje angir du riktig kommando for miljøet: I vanlige miljøer: I FedRAMP-miljøer: Dette trinnet rydder opp tidligere HDS-installasjonsverktøy bilder. Hvis det ikke finnes noen tidligere bilder, returnerer det en feil som du kan ignorere. | ||||||||||
| 2 |
Skriv inn følgende for å logge på Docker-bilderegisteret: | ||||||||||
| 3 |
Skriv inn denne hashen når du blir bedt om passord: | ||||||||||
| 4 |
Last ned det nyeste stabile bildet for miljøet ditt: I vanlige miljøer: I FedRAMP-miljøer: | ||||||||||
| 5 |
Når trekket er fullført, skriver du inn riktig kommando for ditt miljø:
Når containeren kjører, ser du "Express server lytter på port 8080." | ||||||||||
| 6 |
Installasjonsverktøyet støtter ikke tilkobling til localhost via http://localhost:8080. Bruk http://127.0.0.1:8080 for å koble til localhost. Bruk en nettleser til å gå til localhost, Verktøyet bruker denne første oppføringen av brukernavnet til å angi riktig miljø for kontoen. Verktøyet viser deretter standard påloggingsmelding. | ||||||||||
| 7 |
Når du blir bedt om det, skriver du inn påloggingslegitimasjonen for Partner Hub-administrator, og klikker deretter på Logg på for å gi tilgang til de nødvendige tjenestene for hybriddatasikkerhet. | ||||||||||
| 8 |
Klikk på Kom i gang på oversiktssiden for oppsettsverktøyet. | ||||||||||
| 9 |
På siden ISO-import har du disse alternativene:
| ||||||||||
| 10 |
Kontroller at X.509-sertifikatet oppfyller kravene i X.509-sertifikatkrav.
| ||||||||||
| 11 |
Skriv inn databaseadressen og kontoen for HDS for å få tilgang til nøkkeldatalageret: | ||||||||||
| 12 |
Velg en TLS-databasetilkoblingsmodus:
Når du laster opp rotsertifikatet (om nødvendig) og klikker på Fortsett, tester HDS-installasjonsverktøyet TLS-tilkoblingen til databaseserveren. Verktøyet bekrefter også sertifikatsigneringen og vertsnavnet, hvis aktuelt. Hvis en test mislykkes, viser verktøyet en feilmelding som beskriver problemet. Du kan velge om du vil ignorere feilen og fortsette med oppsettet. (På grunn av tilkoblingsforskjeller kan HDS-nodene være i stand til å etablere TLS-tilkoblingen selv om HDS-installasjonsverktøyet ikke kan teste den.) | ||||||||||
| 13 |
På siden Systemlogger konfigurerer du Syslogd-serveren: | ||||||||||
| 14 |
(Valgfritt) Du kan endre standardverdien for noen parametere for databasetilkobling i Avanserte innstillinger. Generelt er denne parameteren den eneste du kanskje vil endre: | ||||||||||
| 15 |
Klikk på Fortsett på skjermen Tilbakestill passord for tjenestekontoer . Passord for tjenestekontoen har en levetid på ni måneder. Bruk dette skjermbildet når passordene nærmer seg utløpsdatoen, eller du vil tilbakestille dem til å ugyldiggjøre tidligere ISO-filer. | ||||||||||
| 16 |
Klikk på Last ned ISO-fil. Lagre filen på et sted som er lett å finne. | ||||||||||
| 17 |
Ta en sikkerhetskopi av ISO-filen på ditt lokale system. Behold sikkerhetskopien sikker. Denne filen inneholder en hovedkrypteringsnøkkel for databaseinnholdet. Begrens tilgangen til bare de hybriddatasikkerhetsadministratorene som skal foreta konfigurasjonsendringer. | ||||||||||
| 18 |
Hvis du vil slå av installasjonsverktøyet, skriver du inn |
Hva du skal gjøre nå
Sikkerhetskopier ISO-konfigurasjonsfilen. Du trenger den for å opprette flere noder for gjenoppretting, eller for å gjøre konfigurasjonsendringer. Hvis du mister alle kopier av ISO-filen, har du også mistet hovednøkkelen. Det er ikke mulig å gjenopprette nøklene fra PostgreSQL- eller Microsoft SQL Server-databasen.
Vi har aldri en kopi av denne nøkkelen og kan ikke hjelpe hvis du mister den.
Installere HDS Host OVA
| 1 |
Bruk VMware vSphere-klienten på datamaskinen for å logge på den virtuelle ESXi-verten. |
| 2 |
Velg Fil > Distribuer OVF-mal. |
| 3 |
I veiviseren angir du plasseringen til OVA-filen du lastet ned tidligere, og klikker deretter på Neste. |
| 4 |
På siden Velg et navn og mappe skriver du inn et Virtuelt maskinnavn for noden (for eksempel «HDS_Node_1»), velger et sted der den virtuelle maskinnodedistribusjonen kan ligge, og klikker deretter på Neste. |
| 5 |
På siden Velg en beregningsressurs velger du destinasjonsberegningsressursen, og klikker deretter på Neste. En valideringskontroll kjører. Når den er ferdig, vises maldetaljene. |
| 6 |
Bekreft maldetaljene, og klikk deretter på Neste. |
| 7 |
Hvis du blir bedt om å velge ressurskonfigurasjonen på Konfigurasjon -siden, klikker du på 4 CPU og klikker deretter på Neste. |
| 8 |
På siden Velg lagring klikker du på Neste for å godta standard diskformat og retningslinjer for lagring av VM. |
| 9 |
På siden Velg nettverk velger du nettverksalternativet fra listen over oppføringer for å gi ønsket tilkobling til VM-en. |
| 10 |
Konfigurer følgende nettverksinnstillinger på siden Tilpass mal :
Hvis du vil, kan du hoppe over konfigurasjonen av nettverksinnstillingene og følge trinnene i Konfigurere VM for hybriddatasikkerhet for å konfigurere innstillingene fra nodekonsollen. Alternativet for å konfigurere nettverksinnstillinger under OVA-distribusjon er testet med ESXi 7.0. Alternativet er kanskje ikke tilgjengelig i tidligere versjoner. |
| 11 |
Høyreklikk på noden VM, og velg deretter . Programvaren for hybrid datasikkerhet installeres som gjest på VM-verten. Du er nå klar til å logge på konsollen og konfigurere noden. Feilsøkingstips Du kan oppleve en forsinkelse på noen minutter før nodebeholderne kommer opp. Det vises en brobrannmurmelding på konsollen under første oppstart, hvor du ikke kan logge på. |
Konfigurere VM for hybriddatasikkerhet
Bruk denne fremgangsmåten til å logge på VM-konsollen for hybriddatasikkerhetsnoden for første gang og angi påloggingslegitimasjonen. Du kan også bruke konsollen til å konfigurere nettverksinnstillingene for noden hvis du ikke konfigurerte dem da OVA ble distribuert.
| 1 |
I VMware vSphere-klienten velger du den hybride datasikkerhetsnoden VM og velger fanen Konsoll . VM starter opp og en melding om pålogging vises. Hvis meldingen om pålogging ikke vises, trykker du på Enter.
|
| 2 |
Bruk følgende standard pålogging og passord for å logge på og endre legitimasjonen: Siden du logger på VM for første gang, må du endre administratorpassordet. |
| 3 |
Hvis du allerede har konfigurert nettverksinnstillingene i Installer HDS Host OVA, hopper du over resten av denne prosedyren. Hvis ikke, velger du alternativet Rediger konfigurasjon i hovedmenyen. |
| 4 |
Konfigurer en statisk konfigurasjon med IP-adresse, maske, gateway og DNS-informasjon. Noden din skal ha en intern IP-adresse og et DNS-navn. DHCP støttes ikke. |
| 5 |
(Valgfritt) Endre vertsnavnet, domenet eller NTP-serveren(e) om nødvendig for å samsvare med nettverkspolicyen. Du trenger ikke å angi domenet til å samsvare med domenet du brukte til å skaffe X.509-sertifikatet. |
| 6 |
Lagre nettverkskonfigurasjonen og start VM på nytt slik at endringene trer i kraft. |
Laste opp og montere konfigurasjons-ISO for HDS
Før du begynner
Fordi ISO-filen innehar hovednøkkelen, bør den bare eksponeres på "trenger å vite"-basis, for tilgang for virtuelle maskiner for hybriddatasikkerhet og eventuelle administratorer som må gjøre endringer. Sørg for at bare disse administratorene har tilgang til datalageret.
| 1 |
Last opp ISO-filen fra datamaskinen: |
| 2 |
Montere ISO-fil: |
Hva du skal gjøre nå
Hvis IT-policyen krever det, kan du eventuelt avmontere ISO-filen etter at alle nodene har plukket opp konfigurasjonsendringene. Se (Valgfritt) Avmonter ISO etter HDS-konfigurasjon for detaljer.
Konfigurere HDS-noden for proxy-integrering
Hvis nettverksmiljøet krever en proxy, bruker du denne fremgangsmåten til å angi hvilken type proxy du vil integrere med hybrid datasikkerhet. Hvis du velger en gjennomsiktig inspeksjons-proxy eller en eksplisitt HTTPS-proxy, kan du bruke nodens grensesnitt til å laste opp og installere rotsertifikatet. Du kan også sjekke proxy-tilkoblingen fra grensesnittet, og feilsøke eventuelle problemer.
Før du begynner
-
Se Proxy-støtte for en oversikt over proxy-alternativene som støttes.
| 1 |
Skriv inn URL-adressen for HDS-nodeoppsett |
| 2 |
Gå til Klareringslager og proxy, og velg deretter et alternativ:
Følg de neste trinnene for en gjennomsiktig inspeksjons-proxy, en eksplisitt HTTP-proxy med grunnleggende godkjenning eller en eksplisitt HTTPS-proxy. |
| 3 |
Klikk på Last opp et rotsertifikat eller sluttenhetssertifikat, og gå deretter til å velge rotsertifikatet for proxyen. Sertifikatet er lastet opp, men er ennå ikke installert fordi du må starte noden på nytt for å installere sertifikatet. Klikk på chevron-pilen ved navnet på sertifikatutstederen for å få mer informasjon, eller klikk på Slett hvis du har gjort en feil og vil laste opp filen på nytt. |
| 4 |
Klikk på Kontroller proxy-tilkobling for å teste nettverkstilkoblingen mellom noden og proxyen. Hvis tilkoblingstesten mislykkes, får du en feilmelding som viser årsaken og hvordan du kan løse problemet. Hvis du ser en melding om at den eksterne DNS-oppløsningen ikke var vellykket, kunne ikke noden nå DNS-serveren. Denne tilstanden forventes i mange eksplisitte proxy-konfigurasjoner. Du kan fortsette med oppsettet, og noden vil fungere i modus for blokkert ekstern DNS-oppløsning. Hvis du tror dette er en feil, fullfører du disse trinnene og ser Slå av blokkert ekstern DNS-oppløsningsmodus. |
| 5 |
Etter at tilkoblingstesten er bestått, bare for eksplisitt proxy satt til https, slår du veksleknappen til Rute alle port 443/444 https-forespørsler fra denne noden gjennom den eksplisitte proxyen. Denne innstillingen tar 15 sekunder før den trer i kraft. |
| 6 |
Klikk på Installer alle sertifikater i klareringslageret (vises for en eksplisitt HTTPS-proxy eller en gjennomsiktig inspeksjons-proxy) eller Start på nytt (vises for en eksplisitt HTTP-proxy), les ledeteksten og klikk deretter på Installer hvis du er klar. Noden starter på nytt innen noen få minutter. |
| 7 |
Etter at noden har startet på nytt, logger du på igjen om nødvendig og åpner deretter Oversikt -siden for å sjekke tilkoblingskontrollene for å sikre at alle er i grønn status. Proxy-tilkoblingskontrollen tester bare et underdomene av webex.com. Hvis det er tilkoblingsproblemer, er et vanlig problem at noen av skydomenene som er oppført i installasjonsinstruksjonene, blokkeres ved proxyen. |
Registrer den første noden i klyngen
Når du registrerer din første node, oppretter du en klynge som noden er tilordnet til. En klynge inneholder én eller flere noder som er distribuert for å gi redundans.
Før du begynner
-
Når du begynner å registrere en node, må du fullføre den innen 60 minutter, eller du må starte på nytt.
-
Sørg for at eventuelle popup-blokkere i nettleseren er deaktivert, eller at du tillater et unntak for admin.webex.com.
| 1 |
Logg på https://admin.webex.com. |
| 2 |
Velg Tjenester fra menyen til venstre på skjermen. |
| 3 |
I delen Skytjenester finner du kortet for hybriddatasikkerhet og klikker på Konfigurer. |
| 4 |
Klikk på Legg til en ressurs på siden som åpnes. |
| 5 |
I det første feltet i Legg til en node -kortet skriver du inn et navn på klyngen du vil tilordne hybriddatasikkerhetsnoden til. Vi anbefaler at du navngir en klynge basert på hvor nodene i klyngen befinner seg geografisk. Eksempler: "San Francisco" eller "New York" eller "Dallas" |
| 6 |
I det andre feltet skriver du inn den interne IP-adressen eller det fullstendige domenenavnet (FQDN) til noden og klikker på Legg til nederst på skjermen. Denne IP-adressen eller FQDN skal samsvare med IP-adressen eller vertsnavnet og domenet du brukte i Konfigurere VM for hybriddatasikkerhet. Det vises en melding som angir at du kan registrere noden din til Webex.
|
| 7 |
Klikk på Gå til node. Etter et øyeblikk blir du omdirigert til nodetilkoblingstestene for Webex-tjenester. Hvis alle testene er vellykkede, vises siden Gi tilgang til hybrid datasikkerhetsnode. Der bekrefter du at du vil gi tillatelse til Webex-organisasjonen din for å få tilgang til noden din. |
| 8 |
Merk av i avkrysningsboksen Gi tilgang til din hybride datasikkerhetsnode , og klikk deretter på Fortsett. Kontoen din er validert, og meldingen «Registreringen er fullført» indikerer at noden din nå er registrert i Webex-skyen.
|
| 9 |
Klikk på koblingen eller lukk fanen for å gå tilbake til Partner Hub Hybrid Data Security-siden. På siden Hybriddatasikkerhet vises den nye klyngen som inneholder noden du registrerte, under Ressurser -fanen. Noden vil automatisk laste ned den nyeste programvaren fra skyen.
|
Opprett og registrer flere noder
Før du begynner
-
Når du begynner å registrere en node, må du fullføre den innen 60 minutter, eller du må starte på nytt.
-
Sørg for at eventuelle popup-blokkere i nettleseren er deaktivert, eller at du tillater et unntak for admin.webex.com.
| 1 |
Opprett en ny virtuell maskin fra OVA, og gjenta trinnene i Installer HDS Host OVA. |
| 2 |
Konfigurer den første konfigurasjonen på den nye VM-en, og gjenta trinnene i Konfigurer VM for hybriddatasikkerhet. |
| 3 |
På den nye VM gjentar du trinnene i Last opp og monter HDS-konfigurasjons-ISO. |
| 4 |
Hvis du konfigurerer en proxy for distribusjonen, gjentar du trinnene i Konfigurer HDS-noden for proxy-integrasjon etter behov for den nye noden. |
| 5 |
Registrer noden. |
Administrere leietakerorganisasjoner for hybriddatasikkerhet for flere leietakere
Aktivere HDS for flere leietakere på Partner Hub
Denne oppgaven sikrer at alle brukere av kundeorganisasjonene kan begynne å bruke HDS for lokale krypteringsnøkler og andre sikkerhetstjenester.
Før du begynner
Sørg for at du har fullført konfigureringen av HDS-klyngen for flere leietakere med det nødvendige antallet noder.
| 1 |
Logg på https://admin.webex.com. |
| 2 |
Velg Tjenester fra menyen til venstre på skjermen. |
| 3 |
I delen Skytjenester finner du hybriddatasikkerhet og klikker på Rediger innstillinger. |
| 4 |
Klikk på Aktiver HDS på kortet HDS-status . |
Legg til leietakerorganisasjoner i Partner Hub
I denne oppgaven tilordner du kundeorganisasjoner til din hybride datasikkerhetsklynge.
| 1 |
Logg på https://admin.webex.com. |
| 2 |
Velg Tjenester fra menyen til venstre på skjermen. |
| 3 |
Finn hybriddatasikkerhet under Skytjenester, og klikk på Vis alle. |
| 4 |
Klikk på klyngen du vil at en kunde skal tilordnes til. |
| 5 |
Gå til fanen Tilordnede kunder . |
| 6 |
Klikk på Legg til kunder. |
| 7 |
Velg kunden du vil legge til, fra rullegardinmenyen. |
| 8 |
Klikk på Legg til, kunden blir lagt til i klyngen. |
| 9 |
Gjenta trinn 6 til 8 for å legge til flere kunder i klyngen. |
| 10 |
Klikk på Ferdig nederst på skjermen når du har lagt til kundene. |
Hva du skal gjøre nå
Opprett kundens hovednøkler (CMK-er) ved hjelp av HDS-installasjonsverktøyet
Før du begynner
Tilordne kunder til riktig klynge som beskrevet i Legg til leietakerorganisasjoner i Partner Hub. Kjør HDS-installasjonsverktøyet for å fullføre installasjonsprosessen for de nylig tillagte kundeorganisasjonene.
-
HDS-installasjonsverktøyet kjører som en Docker-beholder på en lokal maskin. Kjør Docker på maskinen for å få tilgang til den. Installasjonsprosessen krever legitimasjon for en Partner Hub-konto med fulle administratorrettigheter for organisasjonen din.
Hvis HDS-installasjonsverktøyet kjører bak en proxy i miljøet ditt, må du oppgi proxy-innstillingene (server, port, legitimasjon) gjennom Docker-miljøvariablene når du tar opp Docker-beholderen i trinn 5. Denne tabellen viser noen mulige miljøvariabler:
Beskrivelse
Variabel
HTTP-proxy uten autentisering
GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORTHTTPS-proxy uten autentisering
GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORTHTTP-proxy med autentisering
GLOBAL_AGENT_HTTP_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORTHTTPS-proxy med autentisering
GLOBAL_AGENT_HTTPS_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT -
ISO-konfigurasjonsfilen du genererer, inneholder hovednøkkelen som krypterer PostgreSQL- eller Microsoft SQL Server-databasen. Du trenger den nyeste kopien av denne filen hver gang du gjør konfigurasjonsendringer, for eksempel disse:
-
Databaselegitimasjon
-
Sertifikatoppdateringer
-
Endringer i godkjenningspolicyen
-
-
Hvis du planlegger å kryptere databasetilkoblinger, konfigurerer du distribusjonen av PostgreSQL eller SQL Server for TLS.
Installasjonsprosessen for hybriddatasikkerhet oppretter en ISO-fil. Deretter bruker du ISO til å konfigurere verten for hybriddatasikkerhet.
| 1 |
På maskinens kommandolinje angir du riktig kommando for miljøet: I vanlige miljøer: I FedRAMP-miljøer: Dette trinnet rydder opp tidligere HDS-installasjonsverktøy bilder. Hvis det ikke finnes noen tidligere bilder, returnerer det en feil som du kan ignorere. |
| 2 |
Skriv inn følgende for å logge på Docker-bilderegisteret: |
| 3 |
Skriv inn denne hashen når du blir bedt om passord: |
| 4 |
Last ned det nyeste stabile bildet for miljøet ditt: I vanlige miljøer: I FedRAMP-miljøer: |
| 5 |
Når trekket er fullført, skriver du inn riktig kommando for ditt miljø:
Når containeren kjører, ser du "Express server lytter på port 8080." |
| 6 |
Installasjonsverktøyet støtter ikke tilkobling til localhost via http://localhost:8080. Bruk http://127.0.0.1:8080 for å koble til localhost. Bruk en nettleser til å gå til localhost, Verktøyet bruker denne første oppføringen av brukernavnet til å angi riktig miljø for kontoen. Verktøyet viser deretter standard påloggingsmelding. |
| 7 |
Når du blir bedt om det, skriver du inn påloggingslegitimasjonen for Partner Hub-administrator, og klikker deretter på Logg på for å gi tilgang til de nødvendige tjenestene for hybriddatasikkerhet. |
| 8 |
Klikk på Kom i gang på oversiktssiden for oppsettsverktøyet. |
| 9 |
Klikk på Ja på siden ISO-import. |
| 10 |
Velg ISO-filen i nettleseren og last den opp. Sørg for tilkobling til databasen din for å utføre CMK-administrasjon. |
| 11 |
Gå til fanen Leietakers CMK-administrasjon , der du finner følgende tre måter å administrere leietakers CMK-er på.
|
| 12 |
Når CMK opprettes, endres statusen i tabellen fra CMK-administrasjon venter til CMK-administrert. |
| 13 |
Hvis opprettelsen av CMK mislykkes, vises en feilmelding. |
Fjern leietakerorganisasjoner
Før du begynner
Når de er fjernet, vil ikke brukere av kundeorganisasjoner kunne utnytte HDS for sine krypteringsbehov og vil miste alle eksisterende områder. Før du fjerner kundeorganisasjoner, må du kontakte din Cisco-partner eller kontoadministrator.
| 1 |
Logg på https://admin.webex.com. |
| 2 |
Velg Tjenester fra menyen til venstre på skjermen. |
| 3 |
Finn hybriddatasikkerhet under Skytjenester, og klikk på Vis alle. |
| 4 |
I fanen Ressurser klikker du på klyngen du vil fjerne kundeorganisasjoner fra. |
| 5 |
Klikk på Tilordnede kunder på siden som åpnes. |
| 6 |
Fra listen over kundeorganisasjoner som vises, klikker du på til høyre for kundeorganisasjonen du vil fjerne, og klikker på Fjern fra klynge. |
Hva du skal gjøre nå
Fullfør fjerningsprosessen ved å tilbakekalle kundeorganisasjonens CMK-er, som beskrevet i Tilbakekall CMK-er for leiere som er fjernet fra HDS.
Tilbakekall CMK-er for leiere som er fjernet fra HDS.
Før du begynner
Fjern kunder fra den aktuelle klyngen som beskrevet i Fjern leietakerorganisasjoner. Kjør HDS-installasjonsverktøyet for å fullføre fjerningsprosessen for kundeorganisasjonene som ble fjernet.
-
HDS-installasjonsverktøyet kjører som en Docker-beholder på en lokal maskin. Kjør Docker på maskinen for å få tilgang til den. Installasjonsprosessen krever legitimasjon for en Partner Hub-konto med fulle administratorrettigheter for organisasjonen din.
Hvis HDS-installasjonsverktøyet kjører bak en proxy i miljøet ditt, må du oppgi proxy-innstillingene (server, port, legitimasjon) gjennom Docker-miljøvariablene når du tar opp Docker-beholderen i trinn 5. Denne tabellen viser noen mulige miljøvariabler:
Beskrivelse
Variabel
HTTP-proxy uten autentisering
GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORTHTTPS-proxy uten autentisering
GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORTHTTP-proxy med autentisering
GLOBAL_AGENT_HTTP_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORTHTTPS-proxy med autentisering
GLOBAL_AGENT_HTTPS_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT -
ISO-konfigurasjonsfilen du genererer, inneholder hovednøkkelen som krypterer PostgreSQL- eller Microsoft SQL Server-databasen. Du trenger den nyeste kopien av denne filen hver gang du gjør konfigurasjonsendringer, for eksempel disse:
-
Databaselegitimasjon
-
Sertifikatoppdateringer
-
Endringer i godkjenningspolicyen
-
-
Hvis du planlegger å kryptere databasetilkoblinger, konfigurerer du distribusjonen av PostgreSQL eller SQL Server for TLS.
Installasjonsprosessen for hybriddatasikkerhet oppretter en ISO-fil. Deretter bruker du ISO til å konfigurere verten for hybriddatasikkerhet.
| 1 |
På maskinens kommandolinje angir du riktig kommando for miljøet: I vanlige miljøer: I FedRAMP-miljøer: Dette trinnet rydder opp tidligere HDS-installasjonsverktøy bilder. Hvis det ikke finnes noen tidligere bilder, returnerer det en feil som du kan ignorere. |
| 2 |
Skriv inn følgende for å logge på Docker-bilderegisteret: |
| 3 |
Skriv inn denne hashen når du blir bedt om passord: |
| 4 |
Last ned det nyeste stabile bildet for miljøet ditt: I vanlige miljøer: I FedRAMP-miljøer: |
| 5 |
Når trekket er fullført, skriver du inn riktig kommando for ditt miljø:
Når containeren kjører, ser du "Express server lytter på port 8080." |
| 6 |
Installasjonsverktøyet støtter ikke tilkobling til localhost via http://localhost:8080. Bruk http://127.0.0.1:8080 for å koble til localhost. Bruk en nettleser til å gå til localhost, Verktøyet bruker denne første oppføringen av brukernavnet til å angi riktig miljø for kontoen. Verktøyet viser deretter standard påloggingsmelding. |
| 7 |
Når du blir bedt om det, skriver du inn påloggingslegitimasjonen for Partner Hub-administrator, og klikker deretter på Logg på for å gi tilgang til de nødvendige tjenestene for hybriddatasikkerhet. |
| 8 |
Klikk på Kom i gang på oversiktssiden for oppsettsverktøyet. |
| 9 |
Klikk på Ja på siden ISO-import. |
| 10 |
Velg ISO-filen i nettleseren og last den opp. |
| 11 |
Gå til fanen Leietakers CMK-administrasjon , der du finner følgende tre måter å administrere leietakers CMK-er på.
|
| 12 |
Når CMK-opphevelse er fullført, vises ikke kundeorganisasjonen lenger i tabellen. |
| 13 |
Hvis CMK-tilbakekalling mislykkes, vises en feil. |
Test distribusjonen av hybrid datasikkerhet
Test distribusjonen av hybrid datasikkerhet
Før du begynner
-
Konfigurer distribusjonen av hybriddatasikkerhet for flere leietakere.
-
Sørg for at du har tilgang til syslog for å bekrefte at viktige forespørsler sendes til din distribusjon av hybriddatasikkerhet for flere leietakere.
| 1 |
Nøkler for et gitt område angis av skaperen av området. Logg på Webex-appen som en av brukerne av kundeorganisasjonen, og opprett deretter et område. Hvis du deaktiverer distribusjonen av hybriddatasikkerhet, er ikke innhold i områder som brukere oppretter, lenger tilgjengelig når de klientbufrede kopiene av krypteringsnøklene er erstattet. |
| 2 |
Send meldinger til det nye området. |
| 3 |
Kontroller syslog-utdataene for å bekrefte at nøkkelforespørslene sendes til distribusjonen av hybriddatasikkerhet. |
Overvåk sikkerhets helse for hybriddata
| 1 |
I Partner Hub velger du Tjenester fra menyen til venstre på skjermen. |
| 2 |
I delen Skytjenester finner du hybriddatasikkerhet og klikker på Rediger innstillinger. Siden Innstillinger for hybriddatasikkerhet vises.
|
| 3 |
Skriv inn én eller flere e-postadresser atskilt med komma i delen E-postvarsler, og trykk på Enter. |
Administrer HDS-distribusjonen din
Administrer HDS-distribusjon
Bruk oppgavene som er beskrevet her for å administrere distribusjonen av hybriddatasikkerhet.
Angi tidsplan for klyngeoppgradering
Slik angir du oppgraderingsplanen:
| 1 |
Logg på Partner Hub. |
| 2 |
Velg Tjenester fra menyen til venstre på skjermen. |
| 3 |
I delen Skytjenester finner du hybriddatasikkerhet og klikker på Konfigurer |
| 4 |
Velg klyngen på siden Hybrid Data Security Resources. |
| 5 |
Klikk på fanen Klyngeinnstillinger . |
| 6 |
Velg klokkeslett og tidssone for oppgraderingsplanen på siden Klyngeinnstillinger under Oppgraderingsplan. Merk: Under tidssonen vises neste tilgjengelige oppgraderingsdato og -klokkeslett. Du kan utsette oppgraderingen til neste dag ved å klikke på Utsett med 24 timer. |
Endre nodekonfigurasjonen
-
Endring av x.509-sertifikater på grunn av utløp eller andre årsaker.
Vi støtter ikke endring av CN-domenenavnet for et sertifikat. Domenet må samsvare med det opprinnelige domenet som ble brukt til å registrere klyngen.
-
Oppdaterer databaseinnstillinger for å endre til en kopi av PostgreSQL- eller Microsoft SQL Server-databasen.
Vi støtter ikke overføring av data fra PostgreSQL til Microsoft SQL Server, eller motsatt måte. Start en ny distribusjon av hybriddatasikkerhet for å bytte databasemiljøet.
-
Opprette en ny konfigurasjon for å klargjøre et nytt datasenter.
Av sikkerhetshensyn bruker Hybrid Data Security også passord for tjenestekontoer som har en levetid på ni måneder. Når HDS-installasjonsverktøyet har generert disse passordene, distribuerer du dem til hver av HDS-nodene i ISO-konfigurasjonsfilen. Når organisasjonens passord nærmer seg utløpsdato, mottar du et varsel fra Webex-teamet om å tilbakestille passordet for maskinkontoen din. (E-posten inneholder teksten "Bruk maskinkontoens API til å oppdatere passordet.") Hvis passordene dine ikke er utløpt ennå, gir verktøyet deg to alternativer:
-
Myk tilbakestilling– De gamle og de nye passordene fungerer begge i opptil 10 dager. Bruk denne perioden til å erstatte ISO-filen på nodene gradvis.
-
Hard tilbakestilling – De gamle passordene slutter å fungere umiddelbart.
Hvis passordene utløper uten tilbakestilling, påvirker det HDS-tjenesten din, noe som krever en umiddelbar hard tilbakestilling og erstatning av ISO-filen på alle noder.
Bruk denne fremgangsmåten til å generere en ny ISO-konfigurasjonsfil og bruke den på klyngen.
Før du begynner
-
HDS-installasjonsverktøyet kjører som en Docker-beholder på en lokal maskin. Kjør Docker på maskinen for å få tilgang til den. Installasjonsprosessen krever legitimasjon for en Partner Hub-konto med fullstendige partneradministratorrettigheter.
Hvis HDS-installasjonsverktøyet kjører bak en proxy i miljøet ditt, må du oppgi proxy-innstillingene (server, port, legitimasjon) gjennom Docker-miljøvariablene når du tar opp Docker-beholderen i 1.e. Denne tabellen viser noen mulige miljøvariabler:
Beskrivelse
Variabel
HTTP-proxy uten autentisering
GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORTHTTPS-proxy uten autentisering
GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORTHTTP-proxy med autentisering
GLOBAL_AGENT_HTTP_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORTHTTPS-proxy med autentisering
GLOBAL_AGENT_HTTPS_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT -
Du trenger en kopi av den gjeldende ISO-konfigurasjonsfilen for å generere en ny konfigurasjon. ISO inneholder hovednøkkelen som krypterer PostgreSQL- eller Microsoft SQL Server-databasen. Du trenger ISO når du gjør konfigurasjonsendringer, inkludert databaselegitimasjon, sertifikatoppdateringer eller endringer i godkjenningspolicyen.
| 1 |
Kjør HDS-installasjonsverktøyet ved hjelp av Docker på en lokal maskin. |
| 2 |
Hvis du bare kjører én HDS-node, oppretter du en ny hybrid datasikkerhetsnode VM og registrerer den ved hjelp av den nye ISO-konfigurasjonsfilen. Hvis du vil ha mer detaljerte instruksjoner, kan du se Opprette og registrere flere noder. |
| 3 |
Montere ISO-filen for eksisterende HDS-noder som kjører den eldre konfigurasjonsfilen. Utfør følgende prosedyre på hver node igjen, og oppdater hver node før du slår av neste node: |
| 4 |
Gjenta trinn 3 for å erstatte konfigurasjonen på hver gjenværende node som kjører den gamle konfigurasjonen. |
Slå av blokkert ekstern DNS-oppløsningsmodus
Når du registrerer en node eller sjekker nodens proxy-konfigurasjon, tester prosessen DNS-oppslag og tilkobling til Cisco Webex-skyen. Hvis nodens DNS-server ikke kan løse offentlige DNS-navn, går noden automatisk inn i modus for blokkert ekstern DNS-oppløsning.
Hvis nodene dine kan løse offentlige DNS-navn gjennom interne DNS-servere, kan du slå av denne modusen ved å kjøre proxy-tilkoblingstesten på nytt på hver node.
Før du begynner
| 1 |
Åpne nodegrensesnittet for hybriddatasikkerhet i en nettleser (IP-adresse/oppsett, for eksempel https://192.0.2.0/setup), angi administratorlegitimasjonen du har konfigurert for noden, og klikk deretter på Logg på. |
| 2 |
Gå til Oversikt (standardsiden). Når den er aktivert, settes Blokkert ekstern DNS-oppløsning til Ja. |
| 3 |
Gå til siden Klareringslager og proxy . |
| 4 |
Klikk på Kontroller proxy-tilkobling. Hvis du ser en melding om at den eksterne DNS-oppløsningen ikke var vellykket, kunne ikke noden nå DNS-serveren og vil forbli i denne modusen. Hvis ikke, etter at du har startet noden på nytt og gått tilbake til Oversikt -siden, skal Blokkert ekstern DNS-oppløsning settes til Nei. |
Hva du skal gjøre nå
Fjerne en node
| 1 |
Bruk VMware vSphere-klienten på datamaskinen til å logge på den virtuelle ESXi-verten og slå av den virtuelle maskinen. |
| 2 |
Fjern noden: |
| 3 |
Slett VM-en i vSphere-klienten. (Høyreklikk på VM i venstre navigasjonsrute, og klikk på Slett.) Hvis du ikke sletter VM-en, må du huske å avmontere ISO-konfigurasjonsfilen. Uten ISO-filen kan du ikke bruke VM til å få tilgang til sikkerhetsdataene dine. |
Katastrofegjenoppretting ved hjelp av standbydatasenter
Den mest kritiske tjenesten som din hybride datasikkerhetsklynge tilbyr, er oppretting og lagring av nøkler som brukes til å kryptere meldinger og annet innhold som er lagret i Webex-skyen. For hver bruker i organisasjonen som er tilordnet hybriddatasikkerhet, rutes nye forespørsler om nøkkeloppretting til klyngen. Klyngen er også ansvarlig for å returnere nøklene den er opprettet til brukere som er autorisert til å hente dem, for eksempel medlemmer av et samtaleområde.
Fordi klyngen utfører den kritiske funksjonen med å levere disse nøklene, er det viktig at klyngen forblir i drift og at riktige sikkerhetskopier opprettholdes. Tap av hybriddatasikkerhetsdatabasen eller konfigurasjons-ISO som brukes for skjemaet, vil føre til UGJENOPPRETTELIG TAP av kundeinnhold. Følgende fremgangsmåter er obligatoriske for å forhindre et slikt tap:
Hvis en katastrofe fører til at HDS-distribusjonen i det primære datasenteret blir utilgjengelig, følger du denne fremgangsmåten for å manuelt failover til standbydatasenteret.
Før du begynner
| 1 |
Start HDS-installasjonsverktøyet og følg trinnene som er nevnt i Opprett en konfigurasjons-ISO for HDS-verter. |
| 2 |
Fullfør konfigurasjonsprosessen og lagre ISO-filen på et sted som er lett å finne. |
| 3 |
Ta en sikkerhetskopi av ISO-filen på ditt lokale system. Behold sikkerhetskopien sikker. Denne filen inneholder en hovedkrypteringsnøkkel for databaseinnholdet. Begrens tilgangen til bare de hybriddatasikkerhetsadministratorene som skal foreta konfigurasjonsendringer. |
| 4 |
Høyreklikk på VM i venstre navigasjonsrute til VMware vSphere-klienten, og klikk på Rediger innstillinger. |
| 5 |
Klikk på Rediger innstillinger >CD/DVD-stasjon 1 og velg ISO-fil for datalager. Kontroller at Tilkoblet og Koble til ved påslått er merket av slik at oppdaterte konfigurasjonsendringer kan tre i kraft etter at nodene er startet. |
| 6 |
Slå på HDS-noden og sørg for at det ikke er noen alarmer i minst 15 minutter. |
| 7 |
Registrer noden i Partner Hub. Se Registrer den første noden i klyngen. |
| 8 |
Gjenta prosessen for hver node i standbydatasenteret. |
Hva du skal gjøre nå
(Valgfritt) Fjern ISO etter HDS-konfigurasjon
Standard HDS-konfigurasjon kjøres med ISO-montert. Men noen kunder foretrekker ikke å forlate ISO-filer kontinuerlig montert. Du kan avmontere ISO-filen etter at alle HDS-nodene har tatt opp den nye konfigurasjonen.
Du bruker fortsatt ISO-filene til å foreta konfigurasjonsendringer. Når du oppretter en ny ISO eller oppdaterer en ISO gjennom installasjonsverktøyet, må du montere den oppdaterte ISO-en på alle HDS-nodene dine. Når alle nodene har plukket opp konfigurasjonsendringene, kan du avmontere ISO-en igjen med denne fremgangsmåten.
Før du begynner
Oppgrader alle HDS-nodene dine til versjon 2021.01.22.4720 eller nyere.
| 1 |
Slå av en av HDS-nodene dine. |
| 2 |
Velg HDS-noden i vCenter Server Appliance. |
| 3 |
Velg og fjern merket for ISO-fil for datalager. |
| 4 |
Slå på HDS-noden og sørg for at det ikke er noen alarmer i minst 20 minutter. |
| 5 |
Gjenta for hver HDS-node i sin tur. |
Feilsøke hybrid datasikkerhet
Vis varsler og feilsøking
En distribusjon av hybriddatasikkerhet anses som utilgjengelig hvis alle nodene i klyngen ikke er tilgjengelige, eller klyngen fungerer så sakte at forespørslene blir tidsavbrutt. Hvis brukere ikke kan nå din hybride datasikkerhetsklynge, opplever de følgende symptomer:
-
Nye områder kan ikke opprettes (kan ikke opprette nye nøkler)
-
Meldinger og områdetitler kan ikke dekrypteres for:
-
Nye brukere lagt til i et område (kan ikke hente nøkler)
-
Eksisterende brukere i et område som bruker en ny klient (kan ikke hente nøkler)
-
-
Eksisterende brukere i et område vil fortsette å kjøre vellykket så lenge klientene deres har en hurtigbuffer med krypteringsnøklene
Det er viktig at du overvåker den hybride datasikkerhetsklyngen riktig og adresserer eventuelle varsler umiddelbart for å unngå tjenesteavbrudd.
Varsler
Hvis det er et problem med oppsettet av hybriddatasikkerhet, viser Partner Hub varsler til organisasjonens administrator og sender e-post til den konfigurerte e-postadressen. Varslene dekker mange vanlige scenarier.
|
Varsel |
Handling |
|---|---|
|
Feil ved tilgang til lokal database. |
Se etter databasefeil eller lokale nettverksproblemer. |
|
Feil ved lokal databasetilkobling. |
Kontroller at databaseserveren er tilgjengelig, og at riktig tjenestekontolegitimasjon ble brukt i nodekonfigurasjonen. |
|
Feil ved tilgang til skytjeneste. |
Kontroller at nodene har tilgang til Webex-serverne som angitt i Krav til ekstern tilkobling. |
|
Fornye registrering av skytjeneste. |
Registrering til skytjenester ble avbrutt. Fornyelse av registrering pågår. |
|
Registrering av skytjeneste avbrutt. |
Registrering til skytjenester avsluttet. Tjenesten er stengt. |
|
Tjenesten er ikke aktivert ennå. |
Aktiver HDS i Partner Hub. |
|
Konfigurert domene samsvarer ikke med serversertifikatet. |
Kontroller at serversertifikatet samsvarer med det konfigurerte tjenesteaktiveringsdomenet. Den mest sannsynlige årsaken er at sertifikatets CN nylig ble endret og nå er forskjellig fra CN som ble brukt under den første installasjonen. |
|
Kunne ikke autentisere seg til skytjenester. |
Sjekk for nøyaktighet og mulig utløp av legitimasjon for tjenestekontoen. |
|
Kunne ikke åpne lokal nøkkelbutikkfil. |
Kontroller integritet og passordnøyaktighet på den lokale nøkkelbutikkfilen. |
|
Det lokale serversertifikatet er ugyldig. |
Kontroller serversertifikatets utløpsdato og bekreft at det ble utstedt av en klarert sertifiseringsinstans. |
|
Kan ikke legge ut måledata. |
Kontroller lokal nettverkstilgang til eksterne skytjenester. |
|
/media/configdrive/hds-katalog finnes ikke. |
Kontroller konfigurasjonen av ISO-monteringen på virtuell vert. Kontroller at ISO-filen finnes, at den er konfigurert til å monteres ved omstart, og at den monteres. |
|
Oppsett av leietakerorganisasjon er ikke fullført for de tilførte organisasjonene |
Fullfør oppsettet ved å opprette CMK-er for nylig tillagte leietakerorganisasjoner ved hjelp av HDS-installasjonsverktøyet. |
|
Oppsett av leietakerorganisasjon er ikke fullført for fjernede organisasjoner |
Fullfør oppsettet ved å tilbakekalle CMK-er for leietakerorganisasjoner som ble fjernet ved hjelp av HDS-installasjonsverktøyet. |
Feilsøke hybrid datasikkerhet
| 1 |
Se gjennom Partner Hub for eventuelle varsler og fikse eventuelle elementer du finner der. Se bildet nedenfor for referanse. |
| 2 |
Se gjennom syslog-serverens utdata for aktivitet fra distribusjonen av hybriddatasikkerhet. Filtrer etter ord som "Advarsel" og "Feil" for å hjelpe til med feilsøking. |
| 3 |
Kontakt Ciscos kundestøtte. |
Andre merknader
Kjente problemer for hybrid datasikkerhet
-
Hvis du avslutter klyngen for hybriddatasikkerhet (ved å slette den i Partner Hub eller ved å avslutte alle noder), mister konfigurasjons-ISO-filen eller mister tilgangen til nøkkelbutikkdatabasen, kan ikke Webex-appbrukere i kundeorganisasjoner lenger bruke områder under Personer-listen sin som ble opprettet med nøkler fra KMS. Vi har for øyeblikket ingen løsning eller løsning på dette problemet, og vi oppfordrer deg til ikke å avslutte HDS-tjenestene når de håndterer aktive brukerkontoer.
-
En klient som har en eksisterende ECDH-tilkobling til en KMS opprettholder denne tilkoblingen i en tidsperiode (sannsynligvis én time).
Bruk OpenSSL til å generere en PKCS12-fil
Før du begynner
-
OpenSSL er et verktøy som kan brukes til å lage PKCS12-filen i riktig format for lasting i HDS-installasjonsverktøyet. Det finnes andre måter å gjøre dette på, og vi støtter ikke eller fremmer en måte fremfor en annen.
-
Hvis du velger å bruke OpenSSL, tilbyr vi denne prosedyren som en veiledning for å hjelpe deg med å opprette en fil som oppfyller X.509-sertifikatkravene i X.509-sertifikatkrav. Forstå disse kravene før du fortsetter.
-
Installer OpenSSL i et støttet miljø. Se https://www.openssl.org for programvare og dokumentasjon.
-
Opprett en privat nøkkel.
-
Start denne prosedyren når du mottar serversertifikatet fra Certificate Authority (CA).
| 1 |
Når du mottar serversertifikatet fra din CA, lagrer du det som |
| 2 |
Vis sertifikatet som tekst og bekreft detaljene.
|
| 3 |
Bruk et tekstredigeringsprogram til å opprette en sertifikatbuntfil kalt
|
| 4 |
Opprett .p12-filen med det vennlige navnet
|
| 5 |
Kontroller serversertifikatdetaljene. |
Hva du skal gjøre nå
Gå tilbake til Fullfør forutsetningene for hybrid datasikkerhet. Du bruker hdsnode.p12 -filen og passordet du har angitt for den, i Opprett en konfigurasjons-ISO for HDS-verter.
Du kan bruke disse filene på nytt for å be om et nytt sertifikat når det opprinnelige sertifikatet utløper.
Trafikk mellom HDS-nodene og skyen
Utgående metrikkinnsamlingstrafikk
Nodene for hybriddatasikkerhet sender visse målinger til Webex-skyen. Disse inkluderer systemmålinger for maks. heap, heap brukt, CPU-belastning og antall tråder, målinger på synkrone og asynkrone tråder, målinger på varsler som involverer en terskel for krypteringstilkoblinger, ventetid eller lengde på en forespørselskø, målinger på datalageret og krypteringstilkoblingsmålinger. Nodene sender kryptert nøkkelmateriale over en kanal utenfor båndet (atskilt fra forespørselen).
Innkommende trafikk
Nodene for hybriddatasikkerhet mottar følgende typer innkommende trafikk fra Webex-skyen:
-
Krypteringsforespørsler fra klienter som rutes av krypteringstjenesten
-
Oppgraderinger til nodeprogramvaren
Konfigurere Squid-proxyer for hybriddatasikkerhet
Websocket kan ikke koble til via Squid-proxy
Squid-proxyer som inspiserer HTTPS-trafikk kan forstyrre etableringen av websocket-tilkoblinger (wss:) som hybriddatasikkerhet krever. Disse delene gir veiledning om hvordan du konfigurerer forskjellige versjoner av Squid til å ignorere wss: trafikk for riktig drift av tjenestene.
Squid 4 og 5
Legg til on_unsupported_protocol direktivet i squid.conf:
on_unsupported_protocol tunnel alleSquid 3.5.27
Vi testet hybriddatasikkerhet med følgende regler lagt til i squid.conf. Disse reglene kan endres etter hvert som vi utvikler funksjoner og oppdaterer Webex-skyen.
acl wssMercuryConnection ssl::server_name_regex mercury-tilkobling ssl_bump splice wssMercuryConnection acl step1 at_step SslBump1 acl step2 at_step SslBump2 acl step3 at_step SslBump3 ssl_bump titte step1 alle ssl_bump stirre step2 alle ssl_bump bump step3 alleNy og endret informasjon
Ny og endret informasjon
Denne tabellen dekker nye funksjoner eller funksjonalitet, endringer i eksisterende innhold og eventuelle store feil som ble løst i distribusjonsveiledningen for hybriddatasikkerhet for flere leietakere.
|
Dato |
Endringer gjort |
|---|---|
|
30. januar 2025 |
La til SQL-serverversjon 2022 i listen over støttede SQL-servere i Krav til databaseserver. |
|
15. januar 2025 |
Lagt til begrensninger for hybriddatasikkerhet for flere leietakere. |
|
08. januar 2025 |
La til en merknad i Utfør innledende konfigurering og nedlasting av installasjonsfiler som sier at det er et viktig trinn i installasjonsprosessen å klikke på Konfigurer på HDS-kortet i Partner Hub. |
|
07. januar 2025 |
Oppdaterte krav til virtuell vert, oppgaveflyt for distribusjon av hybrid datasikkerhet og Installer HDS Host OVA for å vise nye krav til ESXi 7.0. |
|
13. desember 2024 |
Først publisert. |
Deaktivere hybriddatasikkerhet for flere leietakere
Oppgaveflyt for deaktivering av HDS for flere leietakere
Følg disse trinnene for å deaktivere HDS for flere leietakere fullstendig.
Før du begynner
| 1 |
Fjern alle kunder fra alle klyngene dine, som nevnt i Fjern leietakerorganisasjoner. |
| 2 |
Tilbakekall CMK-er for alle kunder, som nevnt i Tilbakekall CMK-er for leiere som er fjernet fra HDS.. |
| 3 |
Fjern alle noder fra alle klyngene dine, som nevnt i Fjern en node. |
| 4 |
Slett alle klyngene dine fra Partner Hub ved hjelp av én av følgende to metoder.
|
| 5 |
Klikk på fanen Innstillinger på oversiktssiden for hybriddatasikkerhet, og klikk på Deaktiver HDS på HDS-statuskortet. |
Kom i gang med hybriddatasikkerhet for flere leietakere
Oversikt over hybriddatasikkerhet for flere leietakere
Fra dag én har datasikkerhet vært hovedfokuset i utformingen av Webex-appen. Hjørnesteinen i denne sikkerheten er innholdskryptering fra ende-til-ende, aktivert av Webex-appklienter som samhandler med Key Management Service (KMS). KMS er ansvarlig for å opprette og administrere kryptografiske nøkler som klienter bruker til dynamisk kryptering og dekryptering av meldinger og filer.
Som standard får alle Webex-appkunder ende-til-ende-kryptering med dynamiske nøkler lagret i skyen KMS, i Ciscos sikkerhetsområde. Hybrid Data Security flytter KMS og andre sikkerhetsrelaterte funksjoner til bedriftens datasenter, så ingen andre enn deg har nøklene til ditt krypterte innhold.
Hybriddatasikkerhet med flere leietakere gjør det mulig for organisasjoner å utnytte HDS gjennom en klarert lokal partner, som kan fungere som tjenesteleverandør og administrere lokal kryptering og andre sikkerhetstjenester. Dette oppsettet gjør det mulig for partnerorganisasjonen å ha full kontroll over distribusjon og administrasjon av krypteringsnøkler og sikrer at brukerdata fra kundeorganisasjoner er trygge mot ekstern tilgang. Partnerorganisasjoner setter opp HDS-forekomster og oppretter HDS-klynger etter behov. Hver forekomst kan støtte flere kundeorganisasjoner i motsetning til en vanlig HDS-distribusjon som er begrenset til én enkelt organisasjon.
Dette gjør det også mulig for mindre organisasjoner å utnytte HDS, siden tjeneste for nøkkeladministrasjon og sikkerhetsinfrastruktur som datasentre eies av den klarerte lokale partneren.
Hvordan hybriddatasikkerhet for flere leietakere gir datasuverenitet og datakontroll
- Brukergenerert innhold er beskyttet mot ekstern tilgang, for eksempel skytjenesteleverandører.
- Lokale klarerte partnere administrerer krypteringsnøklene til kunder de allerede har etablert relasjoner med.
- Alternativ for lokal teknisk støtte, hvis den leveres av partneren.
- Støtter innhold i møter, meldinger og anrop.
Dette dokumentet er ment å hjelpe partnerorganisasjoner med å konfigurere og administrere kunder under et hybriddatasikkerhetssystem for flere leietakere.
Begrensninger for hybriddatasikkerhet for flere leietakere
- Partnerorganisasjoner kan ikke ha noen eksisterende HDS-distribusjon aktiv i Control Hub.
- Leier- eller kundeorganisasjoner som ønsker å bli administrert av en partner, må ikke ha noen eksisterende HDS-distribusjon i Control Hub.
- Når Multi-Tenant HDS er distribuert av partneren, begynner alle brukere av kundeorganisasjoner samt brukere av partnerorganisasjonen å bruke Multi-Tenant HDS for sine krypteringstjenester.
Partnerorganisasjonen og kundeorganisasjonene de administrerer, vil være på samme HDS-distribusjon for flere leietakere.
Partnerorganisasjonen vil ikke lenger bruke sky-KMS etter at multi-tenant HDS er distribuert.
- Det finnes ingen mekanisme for å flytte nøkler tilbake til Cloud KMS etter en HDS-distribusjon.
- For øyeblikket kan hver HDS-distribusjon for flere leietakere bare ha én klynge, med flere noder under den.
- Administratorroller har visse begrensninger. Se avsnittet nedenfor for detaljer.
Roller i hybriddatasikkerhet for flere leietakere
- Fullstendig partneradministrator – Kan administrere innstillinger for alle kunder som partneren administrerer. Kan også tilordne administratorroller til eksisterende brukere i organisasjonen og tilordne bestemte kunder som skal administreres av partneradministratorer.
- Partneradministrator – Kan administrere innstillinger for kunder som administratoren har klargjort, eller som er tilordnet brukeren.
- Fullverdig administrator – Administrator for partnerorganisasjonen som er autorisert til å utføre oppgaver som å endre organisasjonsinnstillinger, administrere lisenser og tilordne roller.
- Oppsett og administrasjon av HDS med flere leietakere fra ende til ende for alle kundeorganisasjoner – fullstendig partneradministrator og fullstendige administratorrettigheter kreves.
- Administrasjon av tilordnede leietakerorganisasjoner – Partneradministrator og fullstendige administratorrettigheter kreves.
Sikkerhetsområde arkitektur
Webex-skyarkitekturen skiller forskjellige typer tjenester inn i separate områder, eller klareringsdomener, som vist nedenfor.
For å forstå hybrid datasikkerhet ytterligere, la oss først se på dette rene skytilfellet, der Cisco leverer alle funksjonene i sine skyområder. Identitetstjenesten, det eneste stedet der brukere kan være direkte korrelert med sine personopplysninger, for eksempel e-postadresse, er logisk og fysisk adskilt fra sikkerhetsområdet i datasenter B. Begge er i sin tur adskilt fra området der kryptert innhold lagres, i datasenter C.
I dette diagrammet er klienten Webex-appen som kjører på en brukers bærbare datamaskin, og er godkjent med identitetstjenesten. Når brukeren skriver en melding som skal sendes til et område, utføres følgende trinn:
-
Klienten oppretter en sikker tilkobling til nøkkeladministrasjonstjenesten (KMS), og ber deretter om en nøkkel for å kryptere meldingen. Den sikre tilkoblingen bruker ECDH, og KMS krypterer nøkkelen ved hjelp av en hovednøkkel AES-256.
-
Meldingen krypteres før den forlater klienten. Klienten sender det til indekseringstjenesten, som oppretter krypterte søkeindekser for å hjelpe i fremtidige søk etter innholdet.
-
Den krypterte meldingen sendes til samsvarstjenesten for kontroll av samsvar.
-
Den krypterte meldingen lagres i lagringsområdet.
Når du distribuerer hybrid datasikkerhet, flytter du sikkerhetsområdefunksjonene (KMS, indeksering og samsvar) til det lokale datasenteret. De andre skytjenestene som utgjør Webex (inkludert identitets- og innholdslagring) forblir i Ciscos områder.
Samarbeide med andre organisasjoner
Brukere i organisasjonen kan regelmessig bruke Webex-appen til å samarbeide med eksterne deltakere i andre organisasjoner. Når en av brukerne ber om en nøkkel for et område som eies av organisasjonen din (fordi det ble opprettet av en av brukerne), sender KMS nøkkelen til klienten via en ECDH-sikret kanal. Når en annen organisasjon eier nøkkelen for området, sender KMS imidlertid forespørselen ut til Webex-skyen via en egen ECDH-kanal for å hente nøkkelen fra den aktuelle KMS, og returnerer deretter nøkkelen til brukeren din på den opprinnelige kanalen.
KMS-tjenesten som kjører på Org A, validerer tilkoblingene til KMS i andre organisasjoner ved hjelp av x.509 PKI-sertifikater. Se Forbered miljøet hvis du vil ha mer informasjon om hvordan du genererer et x.509-sertifikat som skal brukes med distribusjonen av hybriddatasikkerhet for flere leietakere.
Forventninger til distribusjon av hybrid datasikkerhet
En distribusjon av hybrid datasikkerhet krever betydelig forpliktelse og bevissthet om risikoene som følger med å eie krypteringsnøkler.
For å distribuere hybrid datasikkerhet må du oppgi:
-
Et sikkert datasenter i et land som er et støttet sted for Cisco Webex Teams-planene.
-
Utstyret, programvaren og nettverkstilgangen som er beskrevet i Forbered miljøet.
Fullstendig tap av enten konfigurasjons-ISO-en du bygger for hybriddatasikkerhet eller databasen du leverer, vil føre til tap av nøklene. Nøkkeltap hindrer brukere i å dekryptere områdeinnhold og andre krypterte data i Webex-appen. Hvis dette skjer, kan du bygge en ny distribusjon, men bare nytt innhold vil være synlig. For å unngå tap av tilgang til data må du:
-
Administrer sikkerhetskopiering og gjenoppretting av databasen og konfigurasjons-ISO.
-
Vær forberedt på å utføre rask katastrofegjenoppretting hvis en katastrofe oppstår, for eksempel databasediskfeil eller datasenterkatastrofe.
Det finnes ingen mekanisme for å flytte nøkler tilbake til skyen etter en HDS-distribusjon.
Oppsettsprosess på høyt nivå
Dette dokumentet dekker oppsettet og administrasjonen av en distribusjon av hybriddatasikkerhet for flere leietakere:
-
Konfigurere hybrid datasikkerhet – Dette inkluderer klargjøring av nødvendig infrastruktur og installering av hybrid datasikkerhetsprogramvare, bygging av en HDS-klynge, tillegging av leierorganisasjoner i klyngen og administrasjon av kundens hovednøkler (CMK-er). Dette vil gjøre det mulig for alle brukere i kundeorganisasjonene dine å bruke den hybride datasikkerhetsklyngen til sikkerhetsfunksjoner.
Installasjons-, aktiverings- og administrasjonsfasene er beskrevet i detalj i de neste tre kapitlene.
-
Oppretthold distribusjonen av hybrid datasikkerhet – Webex-skyen gir automatisk pågående oppgraderinger. IT-avdelingen din kan gi støtte på nivå én for denne distribusjonen, og engasjere Cisco-støtte etter behov. Du kan bruke varsler på skjermen og konfigurere e-postbaserte varsler i Partner Hub.
-
Forstå vanlige varsler, feilsøkingstrinn og kjente problemer– Hvis du har problemer med å distribuere eller bruke hybriddatasikkerhet, kan det siste kapitlet i denne veiledningen og vedlegget Kjente problemer hjelpe deg med å finne og løse problemet.
Distribusjonsmodell for hybrid datasikkerhet
I bedriftens datasenter distribuerer du hybrid datasikkerhet som én klynge med noder på separate virtuelle verter. Nodene kommuniserer med Webex-skyen via sikre websockets og sikre HTTP.
Under installasjonsprosessen gir vi deg OVA-filen for å konfigurere det virtuelle apparatet på VM-ene du leverer. Du bruker HDS-installasjonsverktøyet til å opprette en egendefinert ISO-fil for klyngekonfigurasjon som du monterer på hver node. Den hybride datasikkerhetsklyngen bruker den oppgitte Syslogd-serveren og PostgreSQL- eller Microsoft SQL Server-databasen. (Du konfigurerer Syslogd- og databasetilkoblingsdetaljene i HDS-installasjonsverktøyet.)
Minimum antall noder du kan ha i en klynge, er to. Vi anbefaler minst tre per klynge. Å ha flere noder sikrer at tjenesten ikke avbrytes under en programvareoppgradering eller annen vedlikeholdsaktivitet på en node. (Webex-skyen oppgraderer bare én node om gangen.)
Alle noder i en klynge får tilgang til samme nøkkeldatalager og loggaktivitet til samme syslog-server. Nodene selv er statsløse, og håndterer nøkkelforespørsler på rund-robin-modus, som styres av skyen.
Noder blir aktive når du registrerer dem i Partner Hub. Hvis du vil ta en individuell node ut av drift, kan du avregistrere den og senere registrere den på nytt om nødvendig.
Standby Data Center for katastrofegjenoppretting
Under distribusjonen setter du opp et sikkert standbydatasenter. I tilfelle en datasenterkatastrofe, kan du manuelt mislykkes distribusjonen til standbydatasenteret.
Databasene til de aktive datasentrene og standbydatasentrene er synkronisert med hverandre, noe som vil minimere tiden det tar å utføre failover.
De aktive nodene for hybriddatasikkerhet må alltid være i samme datasenter som den aktive databaseserveren.
Proxy-støtte
Hybrid Data Security støtter eksplisitte, gjennomsiktige inspeksjons- og ikke-inspeksjons-proxyer. Du kan knytte disse proxyene til distribusjonen slik at du kan sikre og overvåke trafikk fra bedriften og ut til skyen. Du kan bruke et plattformadministratorgrensesnitt på nodene for sertifikatadministrasjon og for å kontrollere den generelle tilkoblingsstatusen etter at du har konfigurert proxyen på nodene.
Nodene for hybriddatasikkerhet støtter følgende proxy-alternativer:
-
Ingen proxy – Standard hvis du ikke bruker HDS-nodeoppsettet Trust Store & Proxy-konfigurasjonen til å integrere en proxy. Ingen sertifikatoppdatering er nødvendig.
-
Gjennomsiktig ikke-inspeksjons-proxy– Nodene er ikke konfigurert til å bruke en bestemt proxy-serveradresse og bør ikke kreve endringer for å fungere med en ikke-inspeksjons-proxy. Ingen sertifikatoppdatering er nødvendig.
-
Gjennomsiktig tunnelering eller inspeksjons-proxy– Nodene er ikke konfigurert til å bruke en bestemt proxy-serveradresse. Ingen endringer i HTTP- eller HTTPS-konfigurasjonen er nødvendig på nodene. Nodene trenger imidlertid et rotsertifikat slik at de stoler på proxyen. Inspeksjons-proxyer brukes vanligvis av IT til å håndheve retningslinjer for hvilke nettsteder som kan besøkes og hvilke typer innhold som ikke er tillatt. Denne typen proxy dekrypterer all trafikken din (til og med HTTPS).
-
Eksplisitt proxy – Med eksplisitt proxy forteller du HDS-nodene hvilken proxy-server og godkjenningsskjema som skal brukes. Hvis du vil konfigurere en eksplisitt proxy, må du angi følgende informasjon på hver node:
-
Proxy-IP/FQDN – Adresse som kan brukes til å nå proxy-maskinen.
-
Proxy-port – Et portnummer som proxyen bruker til å lytte etter proxy-trafikk.
-
Proxy-protokoll – Avhengig av hva proxy-serveren støtter, velger du mellom følgende protokoller:
-
HTTP – viser og kontrollerer alle forespørsler som klienten sender.
-
HTTPS – Gir en kanal til serveren. Klienten mottar og validerer serverens sertifikat.
-
-
Godkjenningstype– velg blant følgende godkjenningstyper:
-
Ingen – Ingen ytterligere godkjenning er nødvendig.
Tilgjengelig hvis du velger enten HTTP eller HTTPS som proxy-protokoll.
-
Grunnleggende – Brukes for en HTTP-brukeragent til å oppgi brukernavn og passord når du foretar en forespørsel. Bruker Base64-koding.
Tilgjengelig hvis du velger enten HTTP eller HTTPS som proxy-protokoll.
Krever at du skriver inn brukernavn og passord for hver node.
-
Sammendrag – Brukes til å bekrefte kontoen før sensitiv informasjon sendes. Bruker en hash-funksjon på brukernavnet og passordet før det sendes over nettverket.
Bare tilgjengelig hvis du velger HTTPS som proxy-protokoll.
Krever at du skriver inn brukernavn og passord for hver node.
-
-
Eksempel på noder og proxy for hybriddatasikkerhet
Dette diagrammet viser en eksempelkobling mellom hybriddatasikkerhet, nettverk og en proxy. For gjennomsiktig inspeksjon og eksplisitt HTTPS-inspeksjons-proxy-alternativer, må det samme rotsertifikatet være installert på proxyen og på nodene for hybriddatasikkerhet.
Blokkert ekstern DNS-oppløsningsmodus (eksplisitte proxy-konfigurasjoner)
Når du registrerer en node eller sjekker nodens proxy-konfigurasjon, tester prosessen DNS-oppslag og tilkobling til Cisco Webex-skyen. I distribusjoner med eksplisitte proxy-konfigurasjoner som ikke tillater ekstern DNS-oppløsning for interne klienter, går den automatisk inn i blokkert ekstern DNS-oppløsning-modus hvis noden ikke kan spørre DNS-serverne. I denne modusen kan noderegistrering og andre proxy-tilkoblingstester fortsette.
Forbered miljøet ditt
Krav til hybriddatasikkerhet for flere leietakere
Krav til Cisco Webex-lisens
Slik distribuerer du hybriddatasikkerhet for flere leietakere:
-
Partnerorganisasjoner: Kontakt din Cisco-partner eller kontoadministrator og sørg for at funksjonen for flere leietakere er aktivert.
-
Leietakerorganisasjoner: Du må ha Pro Pack for Cisco Webex Control Hub. (Se https://www.cisco.com/go/pro-pack.)
Krav til Docker-skrivebord
Før du installerer HDS-nodene, trenger du Docker Desktop for å kjøre et installasjonsprogram. Docker oppdaterte nylig sin lisensieringsmodell. Organisasjonen din kan kreve et betalt abonnement på Docker Desktop. Hvis du vil ha mer informasjon, kan du se innlegget til Docker-bloggen, «Docker oppdaterer og utvider våre produktabonnementer».
X.509-sertifikatkrav
Sertifikatkjeden må oppfylle følgende krav:
|
Krav |
Detaljer |
|---|---|
|
Som standard stoler vi på sertifiseringsinstansene i Mozilla-listen (med unntak av WoSign og StartCom) på https://wiki.mozilla.org/CA:IncludedCAs. |
|
CN trenger ikke å være tilgjengelig eller en direkte vert. Vi anbefaler at du bruker et navn som gjenspeiler organisasjonen din, for eksempel CN kan ikke inneholde et * (jokertegn). CN brukes til å bekrefte nodene for hybriddatasikkerhet til Webex-appklienter. Alle nodene for hybriddatasikkerhet i klyngen bruker det samme sertifikatet. KMS identifiserer seg selv ved hjelp av CN-domenet, ikke et domene som er definert i x.509v3 SAN-feltene. Når du har registrert en node med dette sertifikatet, støtter vi ikke endring av CN-domenenavnet. |
|
KMS-programvaren støtter ikke SHA1-signaturer for validering av tilkoblinger til andre organisasjons KMS-er. |
|
Du kan bruke en konverter som OpenSSL til å endre sertifikatets format. Du må angi passordet når du kjører HDS-installasjonsverktøyet. |
KMS-programvaren håndhever ikke nøkkelbruk eller utvidede begrensninger for nøkkelbruk. Noen sertifikatmyndigheter krever at utvidede nøkkelbruksbegrensninger brukes på hvert sertifikat, for eksempel servergodkjenning. Det er greit å bruke servergodkjenningen eller andre innstillinger.
Krav til virtuell vert
De virtuelle vertene som du vil konfigurere som Hybrid Data Security-noder i klyngen har følgende krav:
-
Minst to separate verter (3 anbefales) plassert i samme sikre datasenter
-
VMware ESXi 7.0 (eller nyere) installert og kjører.
Du må oppgradere hvis du har en tidligere versjon av ESXi.
-
Minimum 4 vCPU-er, 8 GB hovedminne, 30 GB lokalt harddiskplass per server
Krav til databaseserver
Opprett en ny database for nøkkellagring. Ikke bruk standarddatabasen. HDS-programmene oppretter databaseskjemaet når de er installert.
Det finnes to alternativer for databaseserver. Kravene til hver av dem er som følger:
|
PostgreSql |
Microsoft SQL Server |
|---|---|
|
|
|
Minimum 8 vCPU-er, 16 GB hovedminne, tilstrekkelig harddiskplass og overvåking for å sikre at det ikke overskrides (2 TB anbefales hvis du vil kjøre databasen i lang tid uten å måtte øke lagringsplassen) |
Minimum 8 vCPU-er, 16 GB hovedminne, tilstrekkelig harddiskplass og overvåking for å sikre at det ikke overskrides (2 TB anbefales hvis du vil kjøre databasen i lang tid uten å måtte øke lagringsplassen) |
HDS-programvaren installerer for øyeblikket følgende driverversjoner for kommunikasjon med databaseserveren:
|
PostgreSql |
Microsoft SQL Server |
|---|---|
|
Postgres JDBC driver 42.2.5 |
SQL Server JDBC driver 4.6 Denne driverversjonen støtter SQL Server Always On (Always On Failover Cluster Instances og Always On Availability Groups). |
Ytterligere krav for Windows-godkjenning mot Microsoft SQL Server
Hvis du vil at HDS-noder skal bruke Windows-godkjenning for å få tilgang til Keystore-databasen på Microsoft SQL Server, trenger du følgende konfigurasjon i miljøet ditt:
-
HDS-nodene, Active Directory-infrastrukturen og MS SQL Server må alle synkroniseres med NTP.
-
Windows-kontoen du oppgir til HDS-noder, må ha lese-/skrivetilgang til databasen.
-
DNS-serverne du leverer til HDS-noder, må kunne løse nøkkeldistribusjonssenteret (KDC).
-
Du kan registrere HDS-databaseforekomsten på Microsoft SQL Server som et tjenestehovednavn (SPN) i Active Directory. Se Registrer tjenestens hovednavn for Kerberos-tilkoblinger.
HDS-installasjonsverktøyet, HDS-oppstartsprogrammet og lokal KMS må bruke Windows-godkjenning for å få tilgang til nøkkelbutikkdatabasen. De bruker detaljene fra ISO-konfigurasjonen til å konstruere SPN-en når de ber om tilgang med Kerberos-godkjenning.
Krav til ekstern tilkobling
Konfigurer brannmuren slik at den tillater følgende tilkobling for HDS-programmene:
|
Applikasjon |
Protokoll |
Port |
Retning fra appen |
Destinasjon |
|---|---|---|---|---|
|
Noder for hybriddatasikkerhet |
tcp |
443 |
Utgående HTTPS og WSS |
|
|
HDS-oppsettsverktøy |
tcp |
443 |
Utgående HTTPS |
|
Nodene for hybriddatasikkerhet fungerer med oversettelse av nettverkstilgang (NAT) eller bak en brannmur, så lenge NAT eller brannmuren tillater de nødvendige utgående tilkoblingene til domenet-målene i tabellen ovenfor. Ingen porter skal være synlige fra Internett for tilkoblinger som går inn til nodene for hybriddatasikkerhet. I datasenteret trenger klienter tilgang til nodene for hybriddatasikkerhet på TCP-portene 443 og 22 av administrative grunner.
URL-adressene for Common Identity (CI)-vertene er områdespesifikke. Dette er de gjeldende CI-vertene:
|
Region |
URL-adresser for Common Identity Host |
|---|---|
|
Nord-Amerika |
|
|
Den europeiske union |
|
|
Canada |
|
| Singapore |
|
| De forente arabiske emirater |
|
Krav til proxy-server
-
Vi støtter offisielt følgende proxy-løsninger som kan integreres med nodene for hybriddatasikkerhet.
-
Gjennomsiktig proxy – Cisco Web Security Appliance (WSA).
-
Eksplisitt proxy – Squid.
Squid-proxyer som inspiserer HTTPS-trafikk kan forstyrre opprettelsen av websocket-tilkoblinger (wss:). Hvis du vil omgå dette problemet, kan du se Konfigurere Squid-proxyer for hybriddatasikkerhet.
-
-
Vi støtter følgende kombinasjoner av godkjenningstyper for eksplisitte proxyer:
-
Ingen godkjenning med HTTP eller HTTPS
-
Grunnleggende godkjenning med HTTP eller HTTPS
-
Digest-godkjenning kun med HTTPS
-
-
For en gjennomsiktig inspeksjons-proxy eller en eksplisitt HTTPS-proxy, må du ha en kopi av proxyens rotsertifikat. Distribusjonsinstruksjonene i denne veiledningen forteller deg hvordan du laster opp kopien til klareringslagrene for hybriddatasikkerhetsnodene.
-
Nettverket som er vert for HDS-nodene, må konfigureres til å tvinge utgående TCP-trafikk på port 443 til å rute gjennom proxyen.
-
Proxyer som inspiserer webtrafikk kan forstyrre Web Socket-tilkoblinger. Hvis dette problemet oppstår, vil det å omgå (ikke inspisere) trafikk til
wbx2.com, ogciscospark.comvil løse problemet.
Fullfør forutsetningene for hybrid datasikkerhet
| 1 |
Sørg for at partnerorganisasjonen din har HDS-funksjonen for flere leietakere aktivert og få legitimasjonen til en konto med fullstendig partneradministrator og fullstendige administratorrettigheter. Påse at Webex-kundeorganisasjonen er aktivert for Pro Pack for Cisco Webex Control Hub. Kontakt din Cisco-partner eller kontoadministrator for å få hjelp med denne prosessen. Kundeorganisasjoner skal ikke ha noen eksisterende HDS-distribusjon. |
| 2 |
Velg et domenenavn for HDS-distribusjonen (for eksempel |
| 3 |
Klargjør identiske virtuelle verter som du vil konfigurere som Hybrid Data Security-noder i klyngen. Du trenger minst to separate verter (3 anbefales) plassert i samme sikre datasenter, som oppfyller kravene i Krav til virtuelle verter. |
| 4 |
Klargjør databaseserveren som skal fungere som nøkkeldatalager for klyngen, i henhold til Databaseserverkrav. Databaseserveren må være plassert i det sikre datasenteret med de virtuelle vertene. |
| 5 |
For rask katastrofegjenoppretting konfigurerer du et sikkerhetskopieringsmiljø i et annet datasenter. Sikkerhetskopieringsmiljøet gjenspeiler produksjonsmiljøet til VM-er og en sikkerhetskopidatabaseserver. Hvis for eksempel produksjonen har 3 VM-er som kjører HDS-noder, skal sikkerhetskopieringsmiljøet ha 3 VM-er. |
| 6 |
Sett opp en syslog-vert for å samle inn logger fra nodene i klyngen. Samle nettverksadressen og syslog-porten (standard er UDP 514). |
| 7 |
Opprett en sikker sikkerhetskopieringspolicy for nodene for hybriddatasikkerhet, databaseserveren og syslog-verten. For å forhindre ugjenopprettelig tap av data må du som minimum sikkerhetskopiere databasen og konfigurasjonsfilen som genereres for nodene for hybriddatasikkerhet. Fordi nodene for hybriddatasikkerhet lagrer nøklene som brukes til kryptering og dekryptering av innhold, vil manglende vedlikehold av en operativ distribusjon føre til UGJENOPPRETTELIG TAP av dette innholdet. Webex-appklienter bufrer nøklene sine, så det kan hende at et driftsbrudd ikke er umiddelbart merkbart, men vil bli tydelig over tid. Selv om midlertidige avbrudd er umulig å forhindre, kan de gjenopprettes. Fullstendig tap (ingen sikkerhetskopieringer tilgjengelig) av enten databasen eller konfigurasjons-ISO-filen vil imidlertid føre til ugjenopprettbare kundedata. Operatørene av nodene for hybriddatasikkerhet forventes å opprettholde hyppige sikkerhetskopieringer av databasen og konfigurasjonsfilen, og være forberedt på å gjenoppbygge datasenteret for hybriddatasikkerhet hvis det oppstår en katastrofal feil. |
| 8 |
Kontroller at brannmurkonfigurasjonen tillater tilkobling for hybriddatasikkerhetsnodene som beskrevet i Krav til ekstern tilkobling. |
| 9 |
Installer Docker ( https://www.docker.com) på en hvilken som helst lokal maskin som kjører et støttet operativsystem (Microsoft Windows 10 Professional eller Enterprise 64-biters, eller Mac OSX Yosemite 10.10.3 eller nyere) med en nettleser som har tilgang til det på http://127.0.0.1:8080. Du bruker Docker-forekomsten til å laste ned og kjøre HDS-installasjonsverktøyet, som bygger den lokale konfigurasjonsinformasjonen for alle nodene for hybriddatasikkerhet. Du trenger kanskje en Docker Desktop-lisens. Se Krav til Docker Desktop for mer informasjon. For å installere og kjøre HDS-installasjonsverktøyet må den lokale maskinen ha tilkoblingen beskrevet i Krav til ekstern tilkobling. |
| 10 |
Hvis du integrerer en proxy med hybriddatasikkerhet, må du sørge for at den oppfyller kravene til proxy-serveren. |
Konfigurere en klynge for hybriddatasikkerhet
Oppgaveflyt for distribusjon av hybrid datasikkerhet
| 1 |
Utfør første konfigurasjon og last ned installasjonsfiler Last ned OVA-filen til din lokale maskin for senere bruk. |
| 2 |
Opprette en konfigurasjons-ISO for HDS-verter Bruk HDS-installasjonsverktøyet til å opprette en ISO-konfigurasjonsfil for nodene for hybriddatasikkerhet. |
| 3 |
Opprett en virtuell maskin fra OVA-filen og utfør første konfigurasjon, for eksempel nettverksinnstillinger. Alternativet for å konfigurere nettverksinnstillinger under OVA-distribusjon er testet med ESXi 7.0. Alternativet er kanskje ikke tilgjengelig i tidligere versjoner. |
| 4 |
Konfigurere VM for hybriddatasikkerhet Logg på VM-konsollen og angi påloggingslegitimasjonen. Konfigurer nettverksinnstillingene for noden hvis du ikke konfigurerte dem da OVA ble distribuert. |
| 5 |
Laste opp og montere konfigurasjons-ISO for HDS Konfigurer VM fra ISO-konfigurasjonsfilen du opprettet med HDS-installasjonsverktøyet. |
| 6 |
Konfigurere HDS-noden for proxy-integrering Hvis nettverksmiljøet krever proxy-konfigurasjon, angir du hvilken type proxy du vil bruke for noden, og legger til proxy-sertifikatet i klareringslageret om nødvendig. |
| 7 |
Registrer den første noden i klyngen Registrer VM med Cisco Webex-skyen som en hybrid datasikkerhetsnode. |
| 8 |
Opprett og registrer flere noder Fullfør klyngeoppsettet. |
| 9 |
Aktiver HDS for flere leietakere på Partner Hub. Aktiver HDS og administrer leierorganisasjoner på Partner Hub. |
Utfør første konfigurasjon og last ned installasjonsfiler
I denne oppgaven laster du ned en OVA-fil til maskinen din (ikke til serverne du konfigurerer som Hybrid Data Security-noder). Du bruker denne filen senere i installasjonsprosessen.
| 1 |
Logg på Partner Hub, og klikk deretter på Tjenester. |
| 2 |
Finn kortet for hybriddatasikkerhet under Skytjenester, og klikk deretter på Konfigurer. Å klikke på Konfigurer i Partner Hub er avgjørende for distribusjonsprosessen. Ikke fortsett med installasjonen uten å fullføre dette trinnet. |
| 3 |
Klikk på Legg til en ressurs , og klikk på Last ned .OVA-fil på kortet Installer og konfigurer programvare . Eldre versjoner av programvarepakken (OVA) vil ikke være kompatible med de nyeste oppgraderingene for hybriddatasikkerhet. Dette kan føre til problemer under oppgradering av programmet. Sørg for at du laster ned den nyeste versjonen av OVA-filen. Du kan også laste ned OVA når som helst fra Hjelp -delen. Klikk på . OVA-filen begynner automatisk å lastes ned. Lagre filen på en plassering på maskinen.
|
| 4 |
Du kan eventuelt klikke på Se distribusjonsveiledning for hybriddatasikkerhet for å sjekke om det finnes en senere versjon av denne veiledningen. |
Opprette en konfigurasjons-ISO for HDS-verter
Installasjonsprosessen for hybriddatasikkerhet oppretter en ISO-fil. Deretter bruker du ISO til å konfigurere verten for hybriddatasikkerhet.
Før du begynner
-
HDS-installasjonsverktøyet kjører som en Docker-beholder på en lokal maskin. Kjør Docker på maskinen for å få tilgang til den. Installasjonsprosessen krever legitimasjonen til en Partner Hub-konto med fulle administratorrettigheter.
Hvis HDS-installasjonsverktøyet kjører bak en proxy i miljøet ditt, må du oppgi proxy-innstillingene (server, port, legitimasjon) gjennom Docker-miljøvariablene når du tar opp Docker-beholderen i trinn 5 nedenfor. Denne tabellen viser noen mulige miljøvariabler:
Beskrivelse
Variabel
HTTP-proxy uten autentisering
GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORTHTTPS-proxy uten autentisering
GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORTHTTP-proxy med autentisering
GLOBAL_AGENT_HTTP_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORTHTTPS-proxy med autentisering
GLOBAL_AGENT_HTTPS_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT -
ISO-konfigurasjonsfilen du genererer, inneholder hovednøkkelen som krypterer PostgreSQL- eller Microsoft SQL Server-databasen. Du trenger den nyeste kopien av denne filen hver gang du gjør konfigurasjonsendringer, for eksempel disse:
-
Databaselegitimasjon
-
Sertifikatoppdateringer
-
Endringer i godkjenningspolicyen
-
-
Hvis du planlegger å kryptere databasetilkoblinger, konfigurerer du distribusjonen av PostgreSQL eller SQL Server for TLS.
| 1 |
På maskinens kommandolinje angir du riktig kommando for miljøet: I vanlige miljøer: I FedRAMP-miljøer: Dette trinnet rydder opp tidligere HDS-installasjonsverktøy bilder. Hvis det ikke finnes noen tidligere bilder, returnerer det en feil som du kan ignorere. | ||||||||||
| 2 |
Skriv inn følgende for å logge på Docker-bilderegisteret: | ||||||||||
| 3 |
Skriv inn denne hashen når du blir bedt om passord: | ||||||||||
| 4 |
Last ned det nyeste stabile bildet for miljøet ditt: I vanlige miljøer: I FedRAMP-miljøer: | ||||||||||
| 5 |
Når trekket er fullført, skriver du inn riktig kommando for ditt miljø:
Når containeren kjører, ser du "Express server lytter på port 8080." | ||||||||||
| 6 |
Installasjonsverktøyet støtter ikke tilkobling til localhost via http://localhost:8080. Bruk http://127.0.0.1:8080 for å koble til localhost. Bruk en nettleser til å gå til localhost, Verktøyet bruker denne første oppføringen av brukernavnet til å angi riktig miljø for kontoen. Verktøyet viser deretter standard påloggingsmelding. | ||||||||||
| 7 |
Når du blir bedt om det, skriver du inn påloggingslegitimasjonen for Partner Hub-administrator, og klikker deretter på Logg på for å gi tilgang til de nødvendige tjenestene for hybriddatasikkerhet. | ||||||||||
| 8 |
Klikk på Kom i gang på oversiktssiden for oppsettsverktøyet. | ||||||||||
| 9 |
På siden ISO-import har du disse alternativene:
| ||||||||||
| 10 |
Kontroller at X.509-sertifikatet oppfyller kravene i X.509-sertifikatkrav.
| ||||||||||
| 11 |
Skriv inn databaseadressen og kontoen for HDS for å få tilgang til nøkkeldatalageret: | ||||||||||
| 12 |
Velg en TLS-databasetilkoblingsmodus:
Når du laster opp rotsertifikatet (om nødvendig) og klikker på Fortsett, tester HDS-installasjonsverktøyet TLS-tilkoblingen til databaseserveren. Verktøyet bekrefter også sertifikatsigneringen og vertsnavnet, hvis aktuelt. Hvis en test mislykkes, viser verktøyet en feilmelding som beskriver problemet. Du kan velge om du vil ignorere feilen og fortsette med oppsettet. (På grunn av tilkoblingsforskjeller kan HDS-nodene være i stand til å etablere TLS-tilkoblingen selv om HDS-installasjonsverktøyet ikke kan teste den.) | ||||||||||
| 13 |
På siden Systemlogger konfigurerer du Syslogd-serveren: | ||||||||||
| 14 |
(Valgfritt) Du kan endre standardverdien for noen parametere for databasetilkobling i Avanserte innstillinger. Generelt er denne parameteren den eneste du kanskje vil endre: | ||||||||||
| 15 |
Klikk på Fortsett på skjermen Tilbakestill passord for tjenestekontoer . Passord for tjenestekontoen har en levetid på ni måneder. Bruk dette skjermbildet når passordene nærmer seg utløpsdatoen, eller du vil tilbakestille dem til å ugyldiggjøre tidligere ISO-filer. | ||||||||||
| 16 |
Klikk på Last ned ISO-fil. Lagre filen på et sted som er lett å finne. | ||||||||||
| 17 |
Ta en sikkerhetskopi av ISO-filen på ditt lokale system. Behold sikkerhetskopien sikker. Denne filen inneholder en hovedkrypteringsnøkkel for databaseinnholdet. Begrens tilgangen til bare de hybriddatasikkerhetsadministratorene som skal foreta konfigurasjonsendringer. | ||||||||||
| 18 |
Hvis du vil slå av installasjonsverktøyet, skriver du inn |
Hva du skal gjøre nå
Sikkerhetskopier ISO-konfigurasjonsfilen. Du trenger den for å opprette flere noder for gjenoppretting, eller for å gjøre konfigurasjonsendringer. Hvis du mister alle kopier av ISO-filen, har du også mistet hovednøkkelen. Det er ikke mulig å gjenopprette nøklene fra PostgreSQL- eller Microsoft SQL Server-databasen.
Vi har aldri en kopi av denne nøkkelen og kan ikke hjelpe hvis du mister den.
Installere HDS Host OVA
| 1 |
Bruk VMware vSphere-klienten på datamaskinen for å logge på den virtuelle ESXi-verten. |
| 2 |
Velg Fil > Distribuer OVF-mal. |
| 3 |
I veiviseren angir du plasseringen til OVA-filen du lastet ned tidligere, og klikker deretter på Neste. |
| 4 |
På siden Velg et navn og mappe skriver du inn et Virtuelt maskinnavn for noden (for eksempel «HDS_Node_1»), velger et sted der den virtuelle maskinnodedistribusjonen kan ligge, og klikker deretter på Neste. |
| 5 |
På siden Velg en beregningsressurs velger du destinasjonsberegningsressursen, og klikker deretter på Neste. En valideringskontroll kjører. Når den er ferdig, vises maldetaljene. |
| 6 |
Bekreft maldetaljene, og klikk deretter på Neste. |
| 7 |
Hvis du blir bedt om å velge ressurskonfigurasjonen på Konfigurasjon -siden, klikker du på 4 CPU og klikker deretter på Neste. |
| 8 |
På siden Velg lagring klikker du på Neste for å godta standard diskformat og retningslinjer for lagring av VM. |
| 9 |
På siden Velg nettverk velger du nettverksalternativet fra listen over oppføringer for å gi ønsket tilkobling til VM-en. |
| 10 |
Konfigurer følgende nettverksinnstillinger på siden Tilpass mal :
Hvis du vil, kan du hoppe over konfigurasjonen av nettverksinnstillingene og følge trinnene i Konfigurere VM for hybriddatasikkerhet for å konfigurere innstillingene fra nodekonsollen. Alternativet for å konfigurere nettverksinnstillinger under OVA-distribusjon er testet med ESXi 7.0. Alternativet er kanskje ikke tilgjengelig i tidligere versjoner. |
| 11 |
Høyreklikk på noden VM, og velg deretter . Programvaren for hybrid datasikkerhet installeres som gjest på VM-verten. Du er nå klar til å logge på konsollen og konfigurere noden. Feilsøkingstips Du kan oppleve en forsinkelse på noen minutter før nodebeholderne kommer opp. Det vises en brobrannmurmelding på konsollen under første oppstart, hvor du ikke kan logge på. |
Konfigurere VM for hybriddatasikkerhet
Bruk denne fremgangsmåten til å logge på VM-konsollen for hybriddatasikkerhetsnoden for første gang og angi påloggingslegitimasjonen. Du kan også bruke konsollen til å konfigurere nettverksinnstillingene for noden hvis du ikke konfigurerte dem da OVA ble distribuert.
| 1 |
I VMware vSphere-klienten velger du den hybride datasikkerhetsnoden VM og velger fanen Konsoll . VM starter opp og en melding om pålogging vises. Hvis meldingen om pålogging ikke vises, trykker du på Enter.
|
| 2 |
Bruk følgende standard pålogging og passord for å logge på og endre legitimasjonen: Siden du logger på VM for første gang, må du endre administratorpassordet. |
| 3 |
Hvis du allerede har konfigurert nettverksinnstillingene i Installer HDS Host OVA, hopper du over resten av denne prosedyren. Hvis ikke, velger du alternativet Rediger konfigurasjon i hovedmenyen. |
| 4 |
Konfigurer en statisk konfigurasjon med IP-adresse, maske, gateway og DNS-informasjon. Noden din skal ha en intern IP-adresse og et DNS-navn. DHCP støttes ikke. |
| 5 |
(Valgfritt) Endre vertsnavnet, domenet eller NTP-serveren(e) om nødvendig for å samsvare med nettverkspolicyen. Du trenger ikke å angi domenet til å samsvare med domenet du brukte til å skaffe X.509-sertifikatet. |
| 6 |
Lagre nettverkskonfigurasjonen og start VM på nytt slik at endringene trer i kraft. |
Laste opp og montere konfigurasjons-ISO for HDS
Før du begynner
Fordi ISO-filen innehar hovednøkkelen, bør den bare eksponeres på "trenger å vite"-basis, for tilgang for virtuelle maskiner for hybriddatasikkerhet og eventuelle administratorer som må gjøre endringer. Sørg for at bare disse administratorene har tilgang til datalageret.
| 1 |
Last opp ISO-filen fra datamaskinen: |
| 2 |
Montere ISO-fil: |
Hva du skal gjøre nå
Hvis IT-policyen krever det, kan du eventuelt avmontere ISO-filen etter at alle nodene har plukket opp konfigurasjonsendringene. Se (Valgfritt) Avmonter ISO etter HDS-konfigurasjon for detaljer.
Konfigurere HDS-noden for proxy-integrering
Hvis nettverksmiljøet krever en proxy, bruker du denne fremgangsmåten til å angi hvilken type proxy du vil integrere med hybrid datasikkerhet. Hvis du velger en gjennomsiktig inspeksjons-proxy eller en eksplisitt HTTPS-proxy, kan du bruke nodens grensesnitt til å laste opp og installere rotsertifikatet. Du kan også sjekke proxy-tilkoblingen fra grensesnittet, og feilsøke eventuelle problemer.
Før du begynner
-
Se Proxy-støtte for en oversikt over proxy-alternativene som støttes.
| 1 |
Skriv inn URL-adressen for HDS-nodeoppsett |
| 2 |
Gå til Klareringslager og proxy, og velg deretter et alternativ:
Følg de neste trinnene for en gjennomsiktig inspeksjons-proxy, en eksplisitt HTTP-proxy med grunnleggende godkjenning eller en eksplisitt HTTPS-proxy. |
| 3 |
Klikk på Last opp et rotsertifikat eller sluttenhetssertifikat, og gå deretter til å velge rotsertifikatet for proxyen. Sertifikatet er lastet opp, men er ennå ikke installert fordi du må starte noden på nytt for å installere sertifikatet. Klikk på chevron-pilen ved navnet på sertifikatutstederen for å få mer informasjon, eller klikk på Slett hvis du har gjort en feil og vil laste opp filen på nytt. |
| 4 |
Klikk på Kontroller proxy-tilkobling for å teste nettverkstilkoblingen mellom noden og proxyen. Hvis tilkoblingstesten mislykkes, får du en feilmelding som viser årsaken og hvordan du kan løse problemet. Hvis du ser en melding om at den eksterne DNS-oppløsningen ikke var vellykket, kunne ikke noden nå DNS-serveren. Denne tilstanden forventes i mange eksplisitte proxy-konfigurasjoner. Du kan fortsette med oppsettet, og noden vil fungere i modus for blokkert ekstern DNS-oppløsning. Hvis du tror dette er en feil, fullfører du disse trinnene og ser Slå av blokkert ekstern DNS-oppløsningsmodus. |
| 5 |
Etter at tilkoblingstesten er bestått, bare for eksplisitt proxy satt til https, slår du veksleknappen til Rute alle port 443/444 https-forespørsler fra denne noden gjennom den eksplisitte proxyen. Denne innstillingen tar 15 sekunder før den trer i kraft. |
| 6 |
Klikk på Installer alle sertifikater i klareringslageret (vises for en eksplisitt HTTPS-proxy eller en gjennomsiktig inspeksjons-proxy) eller Start på nytt (vises for en eksplisitt HTTP-proxy), les ledeteksten og klikk deretter på Installer hvis du er klar. Noden starter på nytt innen noen få minutter. |
| 7 |
Etter at noden har startet på nytt, logger du på igjen om nødvendig og åpner deretter Oversikt -siden for å sjekke tilkoblingskontrollene for å sikre at alle er i grønn status. Proxy-tilkoblingskontrollen tester bare et underdomene av webex.com. Hvis det er tilkoblingsproblemer, er et vanlig problem at noen av skydomenene som er oppført i installasjonsinstruksjonene, blokkeres ved proxyen. |
Registrer den første noden i klyngen
Når du registrerer din første node, oppretter du en klynge som noden er tilordnet til. En klynge inneholder én eller flere noder som er distribuert for å gi redundans.
Før du begynner
-
Når du begynner å registrere en node, må du fullføre den innen 60 minutter, eller du må starte på nytt.
-
Sørg for at eventuelle popup-blokkere i nettleseren er deaktivert, eller at du tillater et unntak for admin.webex.com.
| 1 |
Logg på https://admin.webex.com. |
| 2 |
Velg Tjenester fra menyen til venstre på skjermen. |
| 3 |
I delen Skytjenester finner du kortet for hybriddatasikkerhet og klikker på Konfigurer. |
| 4 |
Klikk på Legg til en ressurs på siden som åpnes. |
| 5 |
I det første feltet i Legg til en node -kortet skriver du inn et navn på klyngen du vil tilordne hybriddatasikkerhetsnoden til. Vi anbefaler at du navngir en klynge basert på hvor nodene i klyngen befinner seg geografisk. Eksempler: "San Francisco" eller "New York" eller "Dallas" |
| 6 |
I det andre feltet skriver du inn den interne IP-adressen eller det fullstendige domenenavnet (FQDN) til noden og klikker på Legg til nederst på skjermen. Denne IP-adressen eller FQDN skal samsvare med IP-adressen eller vertsnavnet og domenet du brukte i Konfigurere VM for hybriddatasikkerhet. Det vises en melding som angir at du kan registrere noden din til Webex.
|
| 7 |
Klikk på Gå til node. Etter et øyeblikk blir du omdirigert til nodetilkoblingstestene for Webex-tjenester. Hvis alle testene er vellykkede, vises siden Gi tilgang til hybrid datasikkerhetsnode. Der bekrefter du at du vil gi tillatelse til Webex-organisasjonen din for å få tilgang til noden din. |
| 8 |
Merk av i avkrysningsboksen Gi tilgang til din hybride datasikkerhetsnode , og klikk deretter på Fortsett. Kontoen din er validert, og meldingen «Registreringen er fullført» indikerer at noden din nå er registrert i Webex-skyen.
|
| 9 |
Klikk på koblingen eller lukk fanen for å gå tilbake til Partner Hub Hybrid Data Security-siden. På siden Hybriddatasikkerhet vises den nye klyngen som inneholder noden du registrerte, under Ressurser -fanen. Noden vil automatisk laste ned den nyeste programvaren fra skyen.
|
Opprett og registrer flere noder
Før du begynner
-
Når du begynner å registrere en node, må du fullføre den innen 60 minutter, eller du må starte på nytt.
-
Sørg for at eventuelle popup-blokkere i nettleseren er deaktivert, eller at du tillater et unntak for admin.webex.com.
| 1 |
Opprett en ny virtuell maskin fra OVA, og gjenta trinnene i Installer HDS Host OVA. |
| 2 |
Konfigurer den første konfigurasjonen på den nye VM-en, og gjenta trinnene i Konfigurer VM for hybriddatasikkerhet. |
| 3 |
På den nye VM gjentar du trinnene i Last opp og monter HDS-konfigurasjons-ISO. |
| 4 |
Hvis du konfigurerer en proxy for distribusjonen, gjentar du trinnene i Konfigurer HDS-noden for proxy-integrasjon etter behov for den nye noden. |
| 5 |
Registrer noden. |
Administrere leietakerorganisasjoner for hybriddatasikkerhet for flere leietakere
Aktivere HDS for flere leietakere på Partner Hub
Denne oppgaven sikrer at alle brukere av kundeorganisasjonene kan begynne å bruke HDS for lokale krypteringsnøkler og andre sikkerhetstjenester.
Før du begynner
Sørg for at du har fullført konfigureringen av HDS-klyngen for flere leietakere med det nødvendige antallet noder.
| 1 |
Logg på https://admin.webex.com. |
| 2 |
Velg Tjenester fra menyen til venstre på skjermen. |
| 3 |
I delen Skytjenester finner du hybriddatasikkerhet og klikker på Rediger innstillinger. |
| 4 |
Klikk på Aktiver HDS på kortet HDS-status . |
Legg til leietakerorganisasjoner i Partner Hub
I denne oppgaven tilordner du kundeorganisasjoner til din hybride datasikkerhetsklynge.
| 1 |
Logg på https://admin.webex.com. |
| 2 |
Velg Tjenester fra menyen til venstre på skjermen. |
| 3 |
Finn hybriddatasikkerhet under Skytjenester, og klikk på Vis alle. |
| 4 |
Klikk på klyngen du vil at en kunde skal tilordnes til. |
| 5 |
Gå til fanen Tilordnede kunder . |
| 6 |
Klikk på Legg til kunder. |
| 7 |
Velg kunden du vil legge til, fra rullegardinmenyen. |
| 8 |
Klikk på Legg til, kunden blir lagt til i klyngen. |
| 9 |
Gjenta trinn 6 til 8 for å legge til flere kunder i klyngen. |
| 10 |
Klikk på Ferdig nederst på skjermen når du har lagt til kundene. |
Hva du skal gjøre nå
Opprett kundens hovednøkler (CMK-er) ved hjelp av HDS-installasjonsverktøyet
Før du begynner
Tilordne kunder til riktig klynge som beskrevet i Legg til leietakerorganisasjoner i Partner Hub. Kjør HDS-installasjonsverktøyet for å fullføre installasjonsprosessen for de nylig tillagte kundeorganisasjonene.
-
HDS-installasjonsverktøyet kjører som en Docker-beholder på en lokal maskin. Kjør Docker på maskinen for å få tilgang til den. Installasjonsprosessen krever legitimasjon for en Partner Hub-konto med fulle administratorrettigheter for organisasjonen din.
Hvis HDS-installasjonsverktøyet kjører bak en proxy i miljøet ditt, må du oppgi proxy-innstillingene (server, port, legitimasjon) gjennom Docker-miljøvariablene når du tar opp Docker-beholderen i trinn 5. Denne tabellen viser noen mulige miljøvariabler:
Beskrivelse
Variabel
HTTP-proxy uten autentisering
GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORTHTTPS-proxy uten autentisering
GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORTHTTP-proxy med autentisering
GLOBAL_AGENT_HTTP_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORTHTTPS-proxy med autentisering
GLOBAL_AGENT_HTTPS_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT -
ISO-konfigurasjonsfilen du genererer, inneholder hovednøkkelen som krypterer PostgreSQL- eller Microsoft SQL Server-databasen. Du trenger den nyeste kopien av denne filen hver gang du gjør konfigurasjonsendringer, for eksempel disse:
-
Databaselegitimasjon
-
Sertifikatoppdateringer
-
Endringer i godkjenningspolicyen
-
-
Hvis du planlegger å kryptere databasetilkoblinger, konfigurerer du distribusjonen av PostgreSQL eller SQL Server for TLS.
Installasjonsprosessen for hybriddatasikkerhet oppretter en ISO-fil. Deretter bruker du ISO til å konfigurere verten for hybriddatasikkerhet.
| 1 |
På maskinens kommandolinje angir du riktig kommando for miljøet: I vanlige miljøer: I FedRAMP-miljøer: Dette trinnet rydder opp tidligere HDS-installasjonsverktøy bilder. Hvis det ikke finnes noen tidligere bilder, returnerer det en feil som du kan ignorere. |
| 2 |
Skriv inn følgende for å logge på Docker-bilderegisteret: |
| 3 |
Skriv inn denne hashen når du blir bedt om passord: |
| 4 |
Last ned det nyeste stabile bildet for miljøet ditt: I vanlige miljøer: I FedRAMP-miljøer: |
| 5 |
Når trekket er fullført, skriver du inn riktig kommando for ditt miljø:
Når containeren kjører, ser du "Express server lytter på port 8080." |
| 6 |
Installasjonsverktøyet støtter ikke tilkobling til localhost via http://localhost:8080. Bruk http://127.0.0.1:8080 for å koble til localhost. Bruk en nettleser til å gå til localhost, Verktøyet bruker denne første oppføringen av brukernavnet til å angi riktig miljø for kontoen. Verktøyet viser deretter standard påloggingsmelding. |
| 7 |
Når du blir bedt om det, skriver du inn påloggingslegitimasjonen for Partner Hub-administrator, og klikker deretter på Logg på for å gi tilgang til de nødvendige tjenestene for hybriddatasikkerhet. |
| 8 |
Klikk på Kom i gang på oversiktssiden for oppsettsverktøyet. |
| 9 |
Klikk på Ja på siden ISO-import. |
| 10 |
Velg ISO-filen i nettleseren og last den opp. Sørg for tilkobling til databasen din for å utføre CMK-administrasjon. |
| 11 |
Gå til fanen Leietakers CMK-administrasjon , der du finner følgende tre måter å administrere leietakers CMK-er på.
|
| 12 |
Når CMK opprettes, endres statusen i tabellen fra CMK-administrasjon venter til CMK-administrert. |
| 13 |
Hvis opprettelsen av CMK mislykkes, vises en feilmelding. |
Fjern leietakerorganisasjoner
Før du begynner
Når de er fjernet, vil ikke brukere av kundeorganisasjoner kunne utnytte HDS for sine krypteringsbehov og vil miste alle eksisterende områder. Før du fjerner kundeorganisasjoner, må du kontakte din Cisco-partner eller kontoadministrator.
| 1 |
Logg på https://admin.webex.com. |
| 2 |
Velg Tjenester fra menyen til venstre på skjermen. |
| 3 |
Finn hybriddatasikkerhet under Skytjenester, og klikk på Vis alle. |
| 4 |
I fanen Ressurser klikker du på klyngen du vil fjerne kundeorganisasjoner fra. |
| 5 |
Klikk på Tilordnede kunder på siden som åpnes. |
| 6 |
Fra listen over kundeorganisasjoner som vises, klikker du på til høyre for kundeorganisasjonen du vil fjerne, og klikker på Fjern fra klynge. |
Hva du skal gjøre nå
Fullfør fjerningsprosessen ved å tilbakekalle kundeorganisasjonens CMK-er, som beskrevet i Tilbakekall CMK-er for leiere som er fjernet fra HDS.
Tilbakekall CMK-er for leiere som er fjernet fra HDS.
Før du begynner
Fjern kunder fra den aktuelle klyngen som beskrevet i Fjern leietakerorganisasjoner. Kjør HDS-installasjonsverktøyet for å fullføre fjerningsprosessen for kundeorganisasjonene som ble fjernet.
-
HDS-installasjonsverktøyet kjører som en Docker-beholder på en lokal maskin. Kjør Docker på maskinen for å få tilgang til den. Installasjonsprosessen krever legitimasjon for en Partner Hub-konto med fulle administratorrettigheter for organisasjonen din.
Hvis HDS-installasjonsverktøyet kjører bak en proxy i miljøet ditt, må du oppgi proxy-innstillingene (server, port, legitimasjon) gjennom Docker-miljøvariablene når du tar opp Docker-beholderen i trinn 5. Denne tabellen viser noen mulige miljøvariabler:
Beskrivelse
Variabel
HTTP-proxy uten autentisering
GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORTHTTPS-proxy uten autentisering
GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORTHTTP-proxy med autentisering
GLOBAL_AGENT_HTTP_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORTHTTPS-proxy med autentisering
GLOBAL_AGENT_HTTPS_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT -
ISO-konfigurasjonsfilen du genererer, inneholder hovednøkkelen som krypterer PostgreSQL- eller Microsoft SQL Server-databasen. Du trenger den nyeste kopien av denne filen hver gang du gjør konfigurasjonsendringer, for eksempel disse:
-
Databaselegitimasjon
-
Sertifikatoppdateringer
-
Endringer i godkjenningspolicyen
-
-
Hvis du planlegger å kryptere databasetilkoblinger, konfigurerer du distribusjonen av PostgreSQL eller SQL Server for TLS.
Installasjonsprosessen for hybriddatasikkerhet oppretter en ISO-fil. Deretter bruker du ISO til å konfigurere verten for hybriddatasikkerhet.
| 1 |
På maskinens kommandolinje angir du riktig kommando for miljøet: I vanlige miljøer: I FedRAMP-miljøer: Dette trinnet rydder opp tidligere HDS-installasjonsverktøy bilder. Hvis det ikke finnes noen tidligere bilder, returnerer det en feil som du kan ignorere. |
| 2 |
Skriv inn følgende for å logge på Docker-bilderegisteret: |
| 3 |
Skriv inn denne hashen når du blir bedt om passord: |
| 4 |
Last ned det nyeste stabile bildet for miljøet ditt: I vanlige miljøer: I FedRAMP-miljøer: |
| 5 |
Når trekket er fullført, skriver du inn riktig kommando for ditt miljø:
Når containeren kjører, ser du "Express server lytter på port 8080." |
| 6 |
Installasjonsverktøyet støtter ikke tilkobling til localhost via http://localhost:8080. Bruk http://127.0.0.1:8080 for å koble til localhost. Bruk en nettleser til å gå til localhost, Verktøyet bruker denne første oppføringen av brukernavnet til å angi riktig miljø for kontoen. Verktøyet viser deretter standard påloggingsmelding. |
| 7 |
Når du blir bedt om det, skriver du inn påloggingslegitimasjonen for Partner Hub-administrator, og klikker deretter på Logg på for å gi tilgang til de nødvendige tjenestene for hybriddatasikkerhet. |
| 8 |
Klikk på Kom i gang på oversiktssiden for oppsettsverktøyet. |
| 9 |
Klikk på Ja på siden ISO-import. |
| 10 |
Velg ISO-filen i nettleseren og last den opp. |
| 11 |
Gå til fanen Leietakers CMK-administrasjon , der du finner følgende tre måter å administrere leietakers CMK-er på.
|
| 12 |
Når CMK-opphevelse er fullført, vises ikke kundeorganisasjonen lenger i tabellen. |
| 13 |
Hvis CMK-tilbakekalling mislykkes, vises en feil. |
Test distribusjonen av hybrid datasikkerhet
Test distribusjonen av hybrid datasikkerhet
Før du begynner
-
Konfigurer distribusjonen av hybriddatasikkerhet for flere leietakere.
-
Sørg for at du har tilgang til syslog for å bekrefte at viktige forespørsler sendes til din distribusjon av hybriddatasikkerhet for flere leietakere.
| 1 |
Nøkler for et gitt område angis av skaperen av området. Logg på Webex-appen som en av brukerne av kundeorganisasjonen, og opprett deretter et område. Hvis du deaktiverer distribusjonen av hybriddatasikkerhet, er ikke innhold i områder som brukere oppretter, lenger tilgjengelig når de klientbufrede kopiene av krypteringsnøklene er erstattet. |
| 2 |
Send meldinger til det nye området. |
| 3 |
Kontroller syslog-utdataene for å bekrefte at nøkkelforespørslene sendes til distribusjonen av hybriddatasikkerhet. |
Overvåk sikkerhets helse for hybriddata
| 1 |
I Partner Hub velger du Tjenester fra menyen til venstre på skjermen. |
| 2 |
I delen Skytjenester finner du hybriddatasikkerhet og klikker på Rediger innstillinger. Siden Innstillinger for hybriddatasikkerhet vises.
|
| 3 |
Skriv inn én eller flere e-postadresser atskilt med komma i delen E-postvarsler, og trykk på Enter. |
Administrer HDS-distribusjonen din
Administrer HDS-distribusjon
Bruk oppgavene som er beskrevet her for å administrere distribusjonen av hybriddatasikkerhet.
Angi tidsplan for klyngeoppgradering
Slik angir du oppgraderingsplanen:
| 1 |
Logg på Partner Hub. |
| 2 |
Velg Tjenester fra menyen til venstre på skjermen. |
| 3 |
I delen Skytjenester finner du hybriddatasikkerhet og klikker på Konfigurer |
| 4 |
Velg klyngen på siden Hybrid Data Security Resources. |
| 5 |
Klikk på fanen Klyngeinnstillinger . |
| 6 |
Velg klokkeslett og tidssone for oppgraderingsplanen på siden Klyngeinnstillinger under Oppgraderingsplan. Merk: Under tidssonen vises neste tilgjengelige oppgraderingsdato og -klokkeslett. Du kan utsette oppgraderingen til neste dag ved å klikke på Utsett med 24 timer. |
Endre nodekonfigurasjonen
-
Endring av x.509-sertifikater på grunn av utløp eller andre årsaker.
Vi støtter ikke endring av CN-domenenavnet for et sertifikat. Domenet må samsvare med det opprinnelige domenet som ble brukt til å registrere klyngen.
-
Oppdaterer databaseinnstillinger for å endre til en kopi av PostgreSQL- eller Microsoft SQL Server-databasen.
Vi støtter ikke overføring av data fra PostgreSQL til Microsoft SQL Server, eller motsatt måte. Start en ny distribusjon av hybriddatasikkerhet for å bytte databasemiljøet.
-
Opprette en ny konfigurasjon for å klargjøre et nytt datasenter.
Av sikkerhetshensyn bruker Hybrid Data Security også passord for tjenestekontoer som har en levetid på ni måneder. Når HDS-installasjonsverktøyet har generert disse passordene, distribuerer du dem til hver av HDS-nodene i ISO-konfigurasjonsfilen. Når organisasjonens passord nærmer seg utløpsdato, mottar du et varsel fra Webex-teamet om å tilbakestille passordet for maskinkontoen din. (E-posten inneholder teksten "Bruk maskinkontoens API til å oppdatere passordet.") Hvis passordene dine ikke er utløpt ennå, gir verktøyet deg to alternativer:
-
Myk tilbakestilling– De gamle og de nye passordene fungerer begge i opptil 10 dager. Bruk denne perioden til å erstatte ISO-filen på nodene gradvis.
-
Hard tilbakestilling – De gamle passordene slutter å fungere umiddelbart.
Hvis passordene utløper uten tilbakestilling, påvirker det HDS-tjenesten din, noe som krever en umiddelbar hard tilbakestilling og erstatning av ISO-filen på alle noder.
Bruk denne fremgangsmåten til å generere en ny ISO-konfigurasjonsfil og bruke den på klyngen.
Før du begynner
-
HDS-installasjonsverktøyet kjører som en Docker-beholder på en lokal maskin. Kjør Docker på maskinen for å få tilgang til den. Installasjonsprosessen krever legitimasjon for en Partner Hub-konto med fullstendige partneradministratorrettigheter.
Hvis HDS-installasjonsverktøyet kjører bak en proxy i miljøet ditt, må du oppgi proxy-innstillingene (server, port, legitimasjon) gjennom Docker-miljøvariablene når du tar opp Docker-beholderen i 1.e. Denne tabellen viser noen mulige miljøvariabler:
Beskrivelse
Variabel
HTTP-proxy uten autentisering
GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORTHTTPS-proxy uten autentisering
GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORTHTTP-proxy med autentisering
GLOBAL_AGENT_HTTP_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORTHTTPS-proxy med autentisering
GLOBAL_AGENT_HTTPS_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT -
Du trenger en kopi av den gjeldende ISO-konfigurasjonsfilen for å generere en ny konfigurasjon. ISO inneholder hovednøkkelen som krypterer PostgreSQL- eller Microsoft SQL Server-databasen. Du trenger ISO når du gjør konfigurasjonsendringer, inkludert databaselegitimasjon, sertifikatoppdateringer eller endringer i godkjenningspolicyen.
| 1 |
Kjør HDS-installasjonsverktøyet ved hjelp av Docker på en lokal maskin. |
| 2 |
Hvis du bare kjører én HDS-node, oppretter du en ny hybrid datasikkerhetsnode VM og registrerer den ved hjelp av den nye ISO-konfigurasjonsfilen. Hvis du vil ha mer detaljerte instruksjoner, kan du se Opprette og registrere flere noder. |
| 3 |
Montere ISO-filen for eksisterende HDS-noder som kjører den eldre konfigurasjonsfilen. Utfør følgende prosedyre på hver node igjen, og oppdater hver node før du slår av neste node: |
| 4 |
Gjenta trinn 3 for å erstatte konfigurasjonen på hver gjenværende node som kjører den gamle konfigurasjonen. |
Slå av blokkert ekstern DNS-oppløsningsmodus
Når du registrerer en node eller sjekker nodens proxy-konfigurasjon, tester prosessen DNS-oppslag og tilkobling til Cisco Webex-skyen. Hvis nodens DNS-server ikke kan løse offentlige DNS-navn, går noden automatisk inn i modus for blokkert ekstern DNS-oppløsning.
Hvis nodene dine kan løse offentlige DNS-navn gjennom interne DNS-servere, kan du slå av denne modusen ved å kjøre proxy-tilkoblingstesten på nytt på hver node.
Før du begynner
| 1 |
Åpne nodegrensesnittet for hybriddatasikkerhet i en nettleser (IP-adresse/oppsett, for eksempel https://192.0.2.0/setup), angi administratorlegitimasjonen du har konfigurert for noden, og klikk deretter på Logg på. |
| 2 |
Gå til Oversikt (standardsiden). Når den er aktivert, settes Blokkert ekstern DNS-oppløsning til Ja. |
| 3 |
Gå til siden Klareringslager og proxy . |
| 4 |
Klikk på Kontroller proxy-tilkobling. Hvis du ser en melding om at den eksterne DNS-oppløsningen ikke var vellykket, kunne ikke noden nå DNS-serveren og vil forbli i denne modusen. Hvis ikke, etter at du har startet noden på nytt og gått tilbake til Oversikt -siden, skal Blokkert ekstern DNS-oppløsning settes til Nei. |
Hva du skal gjøre nå
Fjerne en node
| 1 |
Bruk VMware vSphere-klienten på datamaskinen til å logge på den virtuelle ESXi-verten og slå av den virtuelle maskinen. |
| 2 |
Fjern noden: |
| 3 |
Slett VM-en i vSphere-klienten. (Høyreklikk på VM i venstre navigasjonsrute, og klikk på Slett.) Hvis du ikke sletter VM-en, må du huske å avmontere ISO-konfigurasjonsfilen. Uten ISO-filen kan du ikke bruke VM til å få tilgang til sikkerhetsdataene dine. |
Katastrofegjenoppretting ved hjelp av standbydatasenter
Den mest kritiske tjenesten som din hybride datasikkerhetsklynge tilbyr, er oppretting og lagring av nøkler som brukes til å kryptere meldinger og annet innhold som er lagret i Webex-skyen. For hver bruker i organisasjonen som er tilordnet hybriddatasikkerhet, rutes nye forespørsler om nøkkeloppretting til klyngen. Klyngen er også ansvarlig for å returnere nøklene den er opprettet til brukere som er autorisert til å hente dem, for eksempel medlemmer av et samtaleområde.
Fordi klyngen utfører den kritiske funksjonen med å levere disse nøklene, er det viktig at klyngen forblir i drift og at riktige sikkerhetskopier opprettholdes. Tap av hybriddatasikkerhetsdatabasen eller konfigurasjons-ISO som brukes for skjemaet, vil føre til UGJENOPPRETTELIG TAP av kundeinnhold. Følgende fremgangsmåter er obligatoriske for å forhindre et slikt tap:
Hvis en katastrofe fører til at HDS-distribusjonen i det primære datasenteret blir utilgjengelig, følger du denne fremgangsmåten for å manuelt failover til standbydatasenteret.
Før du begynner
| 1 |
Start HDS-installasjonsverktøyet og følg trinnene som er nevnt i Opprett en konfigurasjons-ISO for HDS-verter. |
| 2 |
Fullfør konfigurasjonsprosessen og lagre ISO-filen på et sted som er lett å finne. |
| 3 |
Ta en sikkerhetskopi av ISO-filen på ditt lokale system. Behold sikkerhetskopien sikker. Denne filen inneholder en hovedkrypteringsnøkkel for databaseinnholdet. Begrens tilgangen til bare de hybriddatasikkerhetsadministratorene som skal foreta konfigurasjonsendringer. |
| 4 |
Høyreklikk på VM i venstre navigasjonsrute til VMware vSphere-klienten, og klikk på Rediger innstillinger. |
| 5 |
Klikk på Rediger innstillinger >CD/DVD-stasjon 1 og velg ISO-fil for datalager. Kontroller at Tilkoblet og Koble til ved påslått er merket av slik at oppdaterte konfigurasjonsendringer kan tre i kraft etter at nodene er startet. |
| 6 |
Slå på HDS-noden og sørg for at det ikke er noen alarmer i minst 15 minutter. |
| 7 |
Registrer noden i Partner Hub. Se Registrer den første noden i klyngen. |
| 8 |
Gjenta prosessen for hver node i standbydatasenteret. |
Hva du skal gjøre nå
(Valgfritt) Fjern ISO etter HDS-konfigurasjon
Standard HDS-konfigurasjon kjøres med ISO-montert. Men noen kunder foretrekker ikke å forlate ISO-filer kontinuerlig montert. Du kan avmontere ISO-filen etter at alle HDS-nodene har tatt opp den nye konfigurasjonen.
Du bruker fortsatt ISO-filene til å foreta konfigurasjonsendringer. Når du oppretter en ny ISO eller oppdaterer en ISO gjennom installasjonsverktøyet, må du montere den oppdaterte ISO-en på alle HDS-nodene dine. Når alle nodene har plukket opp konfigurasjonsendringene, kan du avmontere ISO-en igjen med denne fremgangsmåten.
Før du begynner
Oppgrader alle HDS-nodene dine til versjon 2021.01.22.4720 eller nyere.
| 1 |
Slå av en av HDS-nodene dine. |
| 2 |
Velg HDS-noden i vCenter Server Appliance. |
| 3 |
Velg og fjern merket for ISO-fil for datalager. |
| 4 |
Slå på HDS-noden og sørg for at det ikke er noen alarmer i minst 20 minutter. |
| 5 |
Gjenta for hver HDS-node i sin tur. |
Feilsøke hybrid datasikkerhet
Vis varsler og feilsøking
En distribusjon av hybriddatasikkerhet anses som utilgjengelig hvis alle nodene i klyngen ikke er tilgjengelige, eller klyngen fungerer så sakte at forespørslene blir tidsavbrutt. Hvis brukere ikke kan nå din hybride datasikkerhetsklynge, opplever de følgende symptomer:
-
Nye områder kan ikke opprettes (kan ikke opprette nye nøkler)
-
Meldinger og områdetitler kan ikke dekrypteres for:
-
Nye brukere lagt til i et område (kan ikke hente nøkler)
-
Eksisterende brukere i et område som bruker en ny klient (kan ikke hente nøkler)
-
-
Eksisterende brukere i et område vil fortsette å kjøre vellykket så lenge klientene deres har en hurtigbuffer med krypteringsnøklene
Det er viktig at du overvåker den hybride datasikkerhetsklyngen riktig og adresserer eventuelle varsler umiddelbart for å unngå tjenesteavbrudd.
Varsler
Hvis det er et problem med oppsettet av hybriddatasikkerhet, viser Partner Hub varsler til organisasjonens administrator og sender e-post til den konfigurerte e-postadressen. Varslene dekker mange vanlige scenarier.
|
Varsel |
Handling |
|---|---|
|
Feil ved tilgang til lokal database. |
Se etter databasefeil eller lokale nettverksproblemer. |
|
Feil ved lokal databasetilkobling. |
Kontroller at databaseserveren er tilgjengelig, og at riktig tjenestekontolegitimasjon ble brukt i nodekonfigurasjonen. |
|
Feil ved tilgang til skytjeneste. |
Kontroller at nodene har tilgang til Webex-serverne som angitt i Krav til ekstern tilkobling. |
|
Fornye registrering av skytjeneste. |
Registrering til skytjenester ble avbrutt. Fornyelse av registrering pågår. |
|
Registrering av skytjeneste avbrutt. |
Registrering til skytjenester avsluttet. Tjenesten er stengt. |
|
Tjenesten er ikke aktivert ennå. |
Aktiver HDS i Partner Hub. |
|
Konfigurert domene samsvarer ikke med serversertifikatet. |
Kontroller at serversertifikatet samsvarer med det konfigurerte tjenesteaktiveringsdomenet. Den mest sannsynlige årsaken er at sertifikatets CN nylig ble endret og nå er forskjellig fra CN som ble brukt under den første installasjonen. |
|
Kunne ikke autentisere seg til skytjenester. |
Sjekk for nøyaktighet og mulig utløp av legitimasjon for tjenestekontoen. |
|
Kunne ikke åpne lokal nøkkelbutikkfil. |
Kontroller integritet og passordnøyaktighet på den lokale nøkkelbutikkfilen. |
|
Det lokale serversertifikatet er ugyldig. |
Kontroller serversertifikatets utløpsdato og bekreft at det ble utstedt av en klarert sertifiseringsinstans. |
|
Kan ikke legge ut måledata. |
Kontroller lokal nettverkstilgang til eksterne skytjenester. |
|
/media/configdrive/hds-katalog finnes ikke. |
Kontroller konfigurasjonen av ISO-monteringen på virtuell vert. Kontroller at ISO-filen finnes, at den er konfigurert til å monteres ved omstart, og at den monteres. |
|
Oppsett av leietakerorganisasjon er ikke fullført for de tilførte organisasjonene |
Fullfør oppsettet ved å opprette CMK-er for nylig tillagte leietakerorganisasjoner ved hjelp av HDS-installasjonsverktøyet. |
|
Oppsett av leietakerorganisasjon er ikke fullført for fjernede organisasjoner |
Fullfør oppsettet ved å tilbakekalle CMK-er for leietakerorganisasjoner som ble fjernet ved hjelp av HDS-installasjonsverktøyet. |
Feilsøke hybrid datasikkerhet
| 1 |
Se gjennom Partner Hub for eventuelle varsler og fikse eventuelle elementer du finner der. Se bildet nedenfor for referanse. |
| 2 |
Se gjennom syslog-serverens utdata for aktivitet fra distribusjonen av hybriddatasikkerhet. Filtrer etter ord som "Advarsel" og "Feil" for å hjelpe til med feilsøking. |
| 3 |
Kontakt Ciscos kundestøtte. |
Andre merknader
Kjente problemer for hybrid datasikkerhet
-
Hvis du avslutter klyngen for hybriddatasikkerhet (ved å slette den i Partner Hub eller ved å avslutte alle noder), mister konfigurasjons-ISO-filen eller mister tilgangen til nøkkelbutikkdatabasen, kan ikke Webex-appbrukere i kundeorganisasjoner lenger bruke områder under Personer-listen sin som ble opprettet med nøkler fra KMS. Vi har for øyeblikket ingen løsning eller løsning på dette problemet, og vi oppfordrer deg til ikke å avslutte HDS-tjenestene når de håndterer aktive brukerkontoer.
-
En klient som har en eksisterende ECDH-tilkobling til en KMS opprettholder denne tilkoblingen i en tidsperiode (sannsynligvis én time).
Bruk OpenSSL til å generere en PKCS12-fil
Før du begynner
-
OpenSSL er et verktøy som kan brukes til å lage PKCS12-filen i riktig format for lasting i HDS-installasjonsverktøyet. Det finnes andre måter å gjøre dette på, og vi støtter ikke eller fremmer en måte fremfor en annen.
-
Hvis du velger å bruke OpenSSL, tilbyr vi denne prosedyren som en veiledning for å hjelpe deg med å opprette en fil som oppfyller X.509-sertifikatkravene i X.509-sertifikatkrav. Forstå disse kravene før du fortsetter.
-
Installer OpenSSL i et støttet miljø. Se https://www.openssl.org for programvare og dokumentasjon.
-
Opprett en privat nøkkel.
-
Start denne prosedyren når du mottar serversertifikatet fra Certificate Authority (CA).
| 1 |
Når du mottar serversertifikatet fra din CA, lagrer du det som |
| 2 |
Vis sertifikatet som tekst og bekreft detaljene.
|
| 3 |
Bruk et tekstredigeringsprogram til å opprette en sertifikatbuntfil kalt
|
| 4 |
Opprett .p12-filen med det vennlige navnet
|
| 5 |
Kontroller serversertifikatdetaljene. |
Hva du skal gjøre nå
Gå tilbake til Fullfør forutsetningene for hybrid datasikkerhet. Du bruker hdsnode.p12 -filen og passordet du har angitt for den, i Opprett en konfigurasjons-ISO for HDS-verter.
Du kan bruke disse filene på nytt for å be om et nytt sertifikat når det opprinnelige sertifikatet utløper.
Trafikk mellom HDS-nodene og skyen
Utgående metrikkinnsamlingstrafikk
Nodene for hybriddatasikkerhet sender visse målinger til Webex-skyen. Disse inkluderer systemmålinger for maks. heap, heap brukt, CPU-belastning og antall tråder, målinger på synkrone og asynkrone tråder, målinger på varsler som involverer en terskel for krypteringstilkoblinger, ventetid eller lengde på en forespørselskø, målinger på datalageret og krypteringstilkoblingsmålinger. Nodene sender kryptert nøkkelmateriale over en kanal utenfor båndet (atskilt fra forespørselen).
Innkommende trafikk
Nodene for hybriddatasikkerhet mottar følgende typer innkommende trafikk fra Webex-skyen:
-
Krypteringsforespørsler fra klienter som rutes av krypteringstjenesten
-
Oppgraderinger til nodeprogramvaren
Konfigurere Squid-proxyer for hybriddatasikkerhet
Websocket kan ikke koble til via Squid-proxy
Squid-proxyer som inspiserer HTTPS-trafikk kan forstyrre etableringen av websocket-tilkoblinger (wss:) som hybriddatasikkerhet krever. Disse delene gir veiledning om hvordan du konfigurerer forskjellige versjoner av Squid til å ignorere wss: trafikk for riktig drift av tjenestene.
Squid 4 og 5
Legg til on_unsupported_protocol direktivet i squid.conf:
on_unsupported_protocol tunnel alleSquid 3.5.27
Vi testet hybriddatasikkerhet med følgende regler lagt til i squid.conf. Disse reglene kan endres etter hvert som vi utvikler funksjoner og oppdaterer Webex-skyen.
acl wssMercuryConnection ssl::server_name_regex mercury-tilkobling ssl_bump splice wssMercuryConnection acl step1 at_step SslBump1 acl step2 at_step SslBump2 acl step3 at_step SslBump3 ssl_bump titte step1 alle ssl_bump stirre step2 alle ssl_bump bump step3 alleNy og endret informasjon
Ny og endret informasjon
Denne tabellen dekker nye funksjoner eller funksjonalitet, endringer i eksisterende innhold og eventuelle store feil som ble løst i distribusjonsveiledningen for hybriddatasikkerhet for flere leietakere.
|
Dato |
Endringer gjort |
|---|---|
|
04. mars 2025 |
|
|
30. januar 2025 |
La til SQL-serverversjon 2022 i listen over støttede SQL-servere i Krav til databaseserver. |
|
15. januar 2025 |
Lagt til Begrensninger for hybriddatasikkerhet for flere leietakere. |
|
08. januar 2025 |
La til en merknad i Utfør innledende konfigurering og nedlasting av installasjonsfiler som sier at det er et viktig trinn i installasjonsprosessen å klikke på Konfigurer på HDS-kortet i Partner Hub. |
|
07. januar 2025 |
Oppdaterte krav til virtuell vert, oppgaveflyt for distribusjon av hybrid datasikkerhet og Installer HDS Host OVA for å vise nye krav til ESXi 7.0. |
|
13. desember 2024 |
Først publisert. |
Deaktivere hybriddatasikkerhet for flere leietakere
Oppgaveflyt for deaktivering av HDS for flere leietakere
Følg disse trinnene for å deaktivere HDS for flere leietakere fullstendig.
Før du begynner
| 1 |
Fjern alle kunder fra alle klyngene dine, som nevnt i Fjern leietakerorganisasjoner. |
| 2 |
Tilbakekall CMK-er for alle kunder, som nevnt i Tilbakekall CMK-er for leiere som er fjernet fra HDS.. |
| 3 |
Fjern alle noder fra alle klyngene dine, som nevnt i Fjern en node. |
| 4 |
Slett alle klyngene dine fra Partner Hub ved hjelp av én av følgende to metoder.
|
| 5 |
Klikk på fanen Innstillinger på oversiktssiden for hybriddatasikkerhet, og klikk på Deaktiver HDS på HDS-statuskortet. |
Kom i gang med hybriddatasikkerhet for flere leietakere
Oversikt over hybriddatasikkerhet for flere leietakere
Fra dag én har datasikkerhet vært hovedfokuset i utformingen av Webex-appen. Hjørnesteinen i denne sikkerheten er innholdskryptering fra ende-til-ende, aktivert av Webex-appklienter som samhandler med Key Management Service (KMS). KMS er ansvarlig for å opprette og administrere kryptografiske nøkler som klienter bruker til dynamisk kryptering og dekryptering av meldinger og filer.
Som standard får alle Webex-appkunder ende-til-ende-kryptering med dynamiske nøkler lagret i skyen KMS, i Ciscos sikkerhetsområde. Hybrid Data Security flytter KMS og andre sikkerhetsrelaterte funksjoner til bedriftens datasenter, så ingen andre enn deg har nøklene til ditt krypterte innhold.
Hybriddatasikkerhet med flere leietakere gjør det mulig for organisasjoner å utnytte HDS gjennom en klarert lokal partner, som kan fungere som tjenesteleverandør og administrere lokal kryptering og andre sikkerhetstjenester. Dette oppsettet gjør det mulig for partnerorganisasjonen å ha full kontroll over distribusjon og administrasjon av krypteringsnøkler og sikrer at brukerdata fra kundeorganisasjoner er trygge mot ekstern tilgang. Partnerorganisasjoner setter opp HDS-forekomster og oppretter HDS-klynger etter behov. Hver forekomst kan støtte flere kundeorganisasjoner i motsetning til en vanlig HDS-distribusjon som er begrenset til én enkelt organisasjon.
Dette gjør det også mulig for mindre organisasjoner å utnytte HDS, siden tjeneste for nøkkeladministrasjon og sikkerhetsinfrastruktur som datasentre eies av den klarerte lokale partneren.
Hvordan hybriddatasikkerhet for flere leietakere gir datasuverenitet og datakontroll
- Brukergenerert innhold er beskyttet mot ekstern tilgang, for eksempel skytjenesteleverandører.
- Lokale klarerte partnere administrerer krypteringsnøklene til kunder de allerede har etablert relasjoner med.
- Alternativ for lokal teknisk støtte, hvis den leveres av partneren.
- Støtter innhold i møter, meldinger og anrop.
Dette dokumentet er ment å hjelpe partnerorganisasjoner med å konfigurere og administrere kunder under et hybriddatasikkerhetssystem for flere leietakere.
Begrensninger for hybriddatasikkerhet for flere leietakere
- Partnerorganisasjoner kan ikke ha noen eksisterende HDS-distribusjon aktiv i Control Hub.
- Leier- eller kundeorganisasjoner som ønsker å bli administrert av en partner, må ikke ha noen eksisterende HDS-distribusjon i Control Hub.
- Når Multi-Tenant HDS er distribuert av partneren, begynner alle brukere av kundeorganisasjoner samt brukere av partnerorganisasjonen å bruke Multi-Tenant HDS for sine krypteringstjenester.
Partnerorganisasjonen og kundeorganisasjonene de administrerer, vil være på samme HDS-distribusjon for flere leietakere.
Partnerorganisasjonen vil ikke lenger bruke sky-KMS etter at multi-tenant HDS er distribuert.
- Det finnes ingen mekanisme for å flytte nøkler tilbake til Cloud KMS etter en HDS-distribusjon.
- For øyeblikket kan hver HDS-distribusjon for flere leietakere bare ha én klynge, med flere noder under den.
- Administratorroller har visse begrensninger. Se avsnittet nedenfor for detaljer.
Roller i hybriddatasikkerhet for flere leietakere
- Fullstendig partneradministrator – Kan administrere innstillinger for alle kunder som partneren administrerer. Kan også tilordne administratorroller til eksisterende brukere i organisasjonen og tilordne bestemte kunder som skal administreres av partneradministratorer.
- Partneradministrator – Kan administrere innstillinger for kunder som administratoren har klargjort, eller som er tilordnet brukeren.
- Fullverdig administrator – Administrator for partnerorganisasjonen som er autorisert til å utføre oppgaver som å endre organisasjonsinnstillinger, administrere lisenser og tilordne roller.
- Oppsett og administrasjon av HDS med flere leietakere fra ende til ende for alle kundeorganisasjoner – fullstendig partneradministrator og fullstendige administratorrettigheter kreves.
- Administrasjon av tilordnede leietakerorganisasjoner – Partneradministrator og fullstendige administratorrettigheter kreves.
Sikkerhetsområde arkitektur
Webex-skyarkitekturen skiller forskjellige typer tjenester inn i separate områder, eller klareringsdomener, som vist nedenfor.
For å forstå hybrid datasikkerhet ytterligere, la oss først se på dette rene skytilfellet, der Cisco leverer alle funksjonene i sine skyområder. Identitetstjenesten, det eneste stedet der brukere kan være direkte korrelert med sine personopplysninger, for eksempel e-postadresse, er logisk og fysisk adskilt fra sikkerhetsområdet i datasenter B. Begge er i sin tur adskilt fra området der kryptert innhold lagres, i datasenter C.
I dette diagrammet er klienten Webex-appen som kjører på en brukers bærbare datamaskin, og er godkjent med identitetstjenesten. Når brukeren skriver en melding som skal sendes til et område, utføres følgende trinn:
-
Klienten oppretter en sikker tilkobling til nøkkeladministrasjonstjenesten (KMS), og ber deretter om en nøkkel for å kryptere meldingen. Den sikre tilkoblingen bruker ECDH, og KMS krypterer nøkkelen ved hjelp av en hovednøkkel AES-256.
-
Meldingen krypteres før den forlater klienten. Klienten sender det til indekseringstjenesten, som oppretter krypterte søkeindekser for å hjelpe i fremtidige søk etter innholdet.
-
Den krypterte meldingen sendes til samsvarstjenesten for kontroll av samsvar.
-
Den krypterte meldingen lagres i lagringsområdet.
Når du distribuerer hybrid datasikkerhet, flytter du sikkerhetsområdefunksjonene (KMS, indeksering og samsvar) til det lokale datasenteret. De andre skytjenestene som utgjør Webex (inkludert identitets- og innholdslagring) forblir i Ciscos områder.
Samarbeide med andre organisasjoner
Brukere i organisasjonen kan regelmessig bruke Webex-appen til å samarbeide med eksterne deltakere i andre organisasjoner. Når en av brukerne ber om en nøkkel for et område som eies av organisasjonen din (fordi det ble opprettet av en av brukerne), sender KMS nøkkelen til klienten via en ECDH-sikret kanal. Når en annen organisasjon eier nøkkelen for området, sender KMS imidlertid forespørselen ut til Webex-skyen via en egen ECDH-kanal for å hente nøkkelen fra den aktuelle KMS, og returnerer deretter nøkkelen til brukeren din på den opprinnelige kanalen.
KMS-tjenesten som kjører på Org A, validerer tilkoblingene til KMS i andre organisasjoner ved hjelp av x.509 PKI-sertifikater. Se Forbered miljøet hvis du vil ha mer informasjon om hvordan du genererer et x.509-sertifikat som skal brukes med distribusjonen av hybriddatasikkerhet for flere leietakere.
Forventninger til distribusjon av hybrid datasikkerhet
En distribusjon av hybrid datasikkerhet krever betydelig forpliktelse og bevissthet om risikoene som følger med å eie krypteringsnøkler.
For å distribuere hybrid datasikkerhet må du oppgi:
-
Et sikkert datasenter i et land som er et støttet sted for Cisco Webex Teams-planene.
-
Utstyret, programvaren og nettverkstilgangen som er beskrevet i Forbered miljøet.
Fullstendig tap av enten konfigurasjons-ISO-en du bygger for hybriddatasikkerhet eller databasen du leverer, vil føre til tap av nøklene. Nøkkeltap hindrer brukere i å dekryptere områdeinnhold og andre krypterte data i Webex-appen. Hvis dette skjer, kan du bygge en ny distribusjon, men bare nytt innhold vil være synlig. For å unngå tap av tilgang til data må du:
-
Administrer sikkerhetskopiering og gjenoppretting av databasen og konfigurasjons-ISO.
-
Vær forberedt på å utføre rask katastrofegjenoppretting hvis en katastrofe oppstår, for eksempel databasediskfeil eller datasenterkatastrofe.
Det finnes ingen mekanisme for å flytte nøkler tilbake til skyen etter en HDS-distribusjon.
Oppsettsprosess på høyt nivå
Dette dokumentet dekker oppsettet og administrasjonen av en distribusjon av hybriddatasikkerhet for flere leietakere:
-
Konfigurere hybrid datasikkerhet – Dette inkluderer klargjøring av nødvendig infrastruktur og installering av hybrid datasikkerhetsprogramvare, bygging av en HDS-klynge, tillegging av leierorganisasjoner i klyngen og administrasjon av kundens hovednøkler (CMK-er). Dette vil gjøre det mulig for alle brukere i kundeorganisasjonene dine å bruke den hybride datasikkerhetsklyngen til sikkerhetsfunksjoner.
Installasjons-, aktiverings- og administrasjonsfasene er beskrevet i detalj i de neste tre kapitlene.
-
Oppretthold distribusjonen av hybrid datasikkerhet – Webex-skyen gir automatisk pågående oppgraderinger. IT-avdelingen din kan gi støtte på nivå én for denne distribusjonen, og engasjere Cisco-støtte etter behov. Du kan bruke varsler på skjermen og konfigurere e-postbaserte varsler i Partner Hub.
-
Forstå vanlige varsler, feilsøkingstrinn og kjente problemer– Hvis du har problemer med å distribuere eller bruke hybriddatasikkerhet, kan det siste kapitlet i denne veiledningen og vedlegget Kjente problemer hjelpe deg med å finne og løse problemet.
Distribusjonsmodell for hybrid datasikkerhet
I bedriftens datasenter distribuerer du hybrid datasikkerhet som én klynge med noder på separate virtuelle verter. Nodene kommuniserer med Webex-skyen via sikre websockets og sikre HTTP.
Under installasjonsprosessen gir vi deg OVA-filen for å konfigurere det virtuelle apparatet på VM-ene du leverer. Du bruker HDS-installasjonsverktøyet til å opprette en egendefinert ISO-fil for klyngekonfigurasjon som du monterer på hver node. Den hybride datasikkerhetsklyngen bruker den oppgitte Syslogd-serveren og PostgreSQL- eller Microsoft SQL Server-databasen. (Du konfigurerer Syslogd- og databasetilkoblingsdetaljene i HDS-installasjonsverktøyet.)
Minimum antall noder du kan ha i en klynge, er to. Vi anbefaler minst tre per klynge. Å ha flere noder sikrer at tjenesten ikke avbrytes under en programvareoppgradering eller annen vedlikeholdsaktivitet på en node. (Webex-skyen oppgraderer bare én node om gangen.)
Alle noder i en klynge får tilgang til samme nøkkeldatalager og loggaktivitet til samme syslog-server. Nodene selv er statsløse, og håndterer nøkkelforespørsler på rund-robin-modus, som styres av skyen.
Noder blir aktive når du registrerer dem i Partner Hub. Hvis du vil ta en individuell node ut av drift, kan du avregistrere den og senere registrere den på nytt om nødvendig.
Standby Data Center for katastrofegjenoppretting
Under distribusjonen setter du opp et sikkert standbydatasenter. I tilfelle en datasenterkatastrofe, kan du manuelt mislykkes distribusjonen til standbydatasenteret.
Databasene til de aktive datasentrene og standbydatasentrene er synkronisert med hverandre, noe som vil minimere tiden det tar å utføre failover.
De aktive nodene for hybriddatasikkerhet må alltid være i samme datasenter som den aktive databaseserveren.
Proxy-støtte
Hybrid Data Security støtter eksplisitte, gjennomsiktige inspeksjons- og ikke-inspeksjons-proxyer. Du kan knytte disse proxyene til distribusjonen slik at du kan sikre og overvåke trafikk fra bedriften og ut til skyen. Du kan bruke et plattformadministratorgrensesnitt på nodene for sertifikatadministrasjon og for å kontrollere den generelle tilkoblingsstatusen etter at du har konfigurert proxyen på nodene.
Nodene for hybriddatasikkerhet støtter følgende proxy-alternativer:
-
Ingen proxy – Standard hvis du ikke bruker HDS-nodeoppsettet Trust Store & Proxy-konfigurasjonen til å integrere en proxy. Ingen sertifikatoppdatering er nødvendig.
-
Gjennomsiktig ikke-inspeksjons-proxy– Nodene er ikke konfigurert til å bruke en bestemt proxy-serveradresse og bør ikke kreve endringer for å fungere med en ikke-inspeksjons-proxy. Ingen sertifikatoppdatering er nødvendig.
-
Gjennomsiktig tunnelering eller inspeksjons-proxy– Nodene er ikke konfigurert til å bruke en bestemt proxy-serveradresse. Ingen endringer i HTTP- eller HTTPS-konfigurasjonen er nødvendig på nodene. Nodene trenger imidlertid et rotsertifikat slik at de stoler på proxyen. Inspeksjons-proxyer brukes vanligvis av IT til å håndheve retningslinjer for hvilke nettsteder som kan besøkes og hvilke typer innhold som ikke er tillatt. Denne typen proxy dekrypterer all trafikken din (til og med HTTPS).
-
Eksplisitt proxy – Med eksplisitt proxy forteller du HDS-nodene hvilken proxy-server og godkjenningsskjema som skal brukes. Hvis du vil konfigurere en eksplisitt proxy, må du angi følgende informasjon på hver node:
-
Proxy-IP/FQDN – Adresse som kan brukes til å nå proxy-maskinen.
-
Proxy-port – Et portnummer som proxyen bruker til å lytte etter proxy-trafikk.
-
Proxy-protokoll – Avhengig av hva proxy-serveren støtter, velger du mellom følgende protokoller:
-
HTTP – viser og kontrollerer alle forespørsler som klienten sender.
-
HTTPS – Gir en kanal til serveren. Klienten mottar og validerer serverens sertifikat.
-
-
Godkjenningstype– velg blant følgende godkjenningstyper:
-
Ingen – ingen ytterligere godkjenning er nødvendig.
Tilgjengelig hvis du velger enten HTTP eller HTTPS som proxy-protokoll.
-
Grunnleggende – Brukes for en HTTP-brukeragent til å oppgi brukernavn og passord når du foretar en forespørsel. Bruker Base64-koding.
Tilgjengelig hvis du velger enten HTTP eller HTTPS som proxy-protokoll.
Krever at du skriver inn brukernavn og passord for hver node.
-
Sammendrag – Brukes til å bekrefte kontoen før sensitiv informasjon sendes. Bruker en hash-funksjon på brukernavnet og passordet før det sendes over nettverket.
Bare tilgjengelig hvis du velger HTTPS som proxy-protokoll.
Krever at du skriver inn brukernavn og passord for hver node.
-
-
Eksempel på noder og proxy for hybriddatasikkerhet
Dette diagrammet viser en eksempelkobling mellom hybriddatasikkerhet, nettverk og en proxy. For gjennomsiktig inspeksjon og eksplisitt HTTPS-inspeksjons-proxy-alternativer, må det samme rotsertifikatet være installert på proxyen og på nodene for hybriddatasikkerhet.
Blokkert ekstern DNS-oppløsningsmodus (eksplisitte proxy-konfigurasjoner)
Når du registrerer en node eller sjekker nodens proxy-konfigurasjon, tester prosessen DNS-oppslag og tilkobling til Cisco Webex-skyen. I distribusjoner med eksplisitte proxy-konfigurasjoner som ikke tillater ekstern DNS-oppløsning for interne klienter, går den automatisk inn i blokkert ekstern DNS-oppløsning-modus hvis noden ikke kan spørre DNS-serverne. I denne modusen kan noderegistrering og andre proxy-tilkoblingstester fortsette.
Forbered miljøet ditt
Krav til hybriddatasikkerhet for flere leietakere
Krav til Cisco Webex-lisens
Slik distribuerer du hybriddatasikkerhet for flere leietakere:
-
Partnerorganisasjoner: Kontakt din Cisco-partner eller kontoadministrator og sørg for at funksjonen for flere leietakere er aktivert.
-
Leietakerorganisasjoner: Du må ha Pro Pack for Cisco Webex Control Hub. (Se https://www.cisco.com/go/pro-pack.)
Krav til Docker-skrivebord
Før du installerer HDS-nodene, trenger du Docker Desktop for å kjøre et installasjonsprogram. Docker oppdaterte nylig sin lisensieringsmodell. Organisasjonen din kan kreve et betalt abonnement på Docker Desktop. Hvis du vil ha mer informasjon, kan du se innlegget til Docker-bloggen, «Docker oppdaterer og utvider våre produktabonnementer».
Kunder uten en Docker Desktop-lisens kan bruke et verktøy for administrasjon av containere med åpen kildekode som Podman Desktop til å kjøre, administrere og opprette containere. Se Kjør HDS-installasjonsverktøy ved hjelp av Podman Desktop for detaljer.
X.509-sertifikatkrav
Sertifikatkjeden må oppfylle følgende krav:
|
Krav |
Detaljer |
|---|---|
|
Som standard stoler vi på sertifiseringsinstansene i Mozilla-listen (med unntak av WoSign og StartCom) på https://wiki.mozilla.org/CA:IncludedCAs. |
|
CN trenger ikke å være tilgjengelig eller en direkte vert. Vi anbefaler at du bruker et navn som gjenspeiler organisasjonen din, for eksempel CN kan ikke inneholde et * (jokertegn). CN brukes til å bekrefte nodene for hybriddatasikkerhet til Webex-appklienter. Alle nodene for hybriddatasikkerhet i klyngen bruker det samme sertifikatet. KMS identifiserer seg selv ved hjelp av CN-domenet, ikke et domene som er definert i x.509v3 SAN-feltene. Når du har registrert en node med dette sertifikatet, støtter vi ikke endring av CN-domenenavnet. |
|
KMS-programvaren støtter ikke SHA1-signaturer for validering av tilkoblinger til andre organisasjons KMS-er. |
|
Du kan bruke en konverter som OpenSSL til å endre sertifikatets format. Du må angi passordet når du kjører HDS-installasjonsverktøyet. |
KMS-programvaren håndhever ikke nøkkelbruk eller utvidede begrensninger for nøkkelbruk. Noen sertifikatmyndigheter krever at utvidede nøkkelbruksbegrensninger brukes på hvert sertifikat, for eksempel servergodkjenning. Det er greit å bruke servergodkjenningen eller andre innstillinger.
Krav til virtuell vert
De virtuelle vertene som du vil konfigurere som Hybrid Data Security-noder i klyngen har følgende krav:
-
Minst to separate verter (3 anbefales) plassert i samme sikre datasenter
-
VMware ESXi 7.0 (eller nyere) installert og kjører.
Du må oppgradere hvis du har en tidligere versjon av ESXi.
-
Minimum 4 vCPU-er, 8 GB hovedminne, 30 GB lokalt harddiskplass per server
Krav til databaseserver
Opprett en ny database for nøkkellagring. Ikke bruk standarddatabasen. HDS-programmene oppretter databaseskjemaet når de er installert.
Det finnes to alternativer for databaseserver. Kravene til hver av dem er som følger:
|
PostgreSql |
Microsoft SQL Server |
|---|---|
|
|
|
Minimum 8 vCPU-er, 16 GB hovedminne, tilstrekkelig harddiskplass og overvåking for å sikre at det ikke overskrides (2 TB anbefales hvis du vil kjøre databasen i lang tid uten å måtte øke lagringsplassen) |
Minimum 8 vCPU-er, 16 GB hovedminne, tilstrekkelig harddiskplass og overvåking for å sikre at det ikke overskrides (2 TB anbefales hvis du vil kjøre databasen i lang tid uten å måtte øke lagringsplassen) |
HDS-programvaren installerer for øyeblikket følgende driverversjoner for kommunikasjon med databaseserveren:
|
PostgreSql |
Microsoft SQL Server |
|---|---|
|
Postgres JDBC driver 42.2.5 |
SQL Server JDBC driver 4.6 Denne driverversjonen støtter SQL Server Always On (Always On Failover Cluster Instances og Always On Availability Groups). |
Ytterligere krav for Windows-godkjenning mot Microsoft SQL Server
Hvis du vil at HDS-noder skal bruke Windows-godkjenning for å få tilgang til Keystore-databasen på Microsoft SQL Server, trenger du følgende konfigurasjon i miljøet ditt:
-
HDS-nodene, Active Directory-infrastrukturen og MS SQL Server må alle synkroniseres med NTP.
-
Windows-kontoen du oppgir til HDS-noder, må ha lese-/skrivetilgang til databasen.
-
DNS-serverne du leverer til HDS-noder, må kunne løse nøkkeldistribusjonssenteret (KDC).
-
Du kan registrere HDS-databaseforekomsten på Microsoft SQL Server som et tjenestehovednavn (SPN) i Active Directory. Se Registrer tjenestens hovednavn for Kerberos-tilkoblinger.
HDS-installasjonsverktøyet, HDS-oppstartsprogrammet og lokal KMS må bruke Windows-godkjenning for å få tilgang til nøkkelbutikkdatabasen. De bruker detaljene fra ISO-konfigurasjonen til å konstruere SPN-en når de ber om tilgang med Kerberos-godkjenning.
Krav til ekstern tilkobling
Konfigurer brannmuren slik at den tillater følgende tilkobling for HDS-programmene:
|
Applikasjon |
Protokoll |
Port |
Retning fra appen |
Destinasjon |
|---|---|---|---|---|
|
Noder for hybriddatasikkerhet |
tcp |
443 |
Utgående HTTPS og WSS |
|
|
HDS-oppsettsverktøy |
tcp |
443 |
Utgående HTTPS |
|
Nodene for hybriddatasikkerhet fungerer med oversettelse av nettverkstilgang (NAT) eller bak en brannmur, så lenge NAT eller brannmuren tillater de nødvendige utgående tilkoblingene til domenet-målene i tabellen ovenfor. Ingen porter skal være synlige fra Internett for tilkoblinger som går inn til nodene for hybriddatasikkerhet. I datasenteret trenger klienter tilgang til nodene for hybriddatasikkerhet på TCP-portene 443 og 22 av administrative grunner.
URL-adressene for Common Identity (CI)-vertene er områdespesifikke. Dette er de gjeldende CI-vertene:
|
Region |
URL-adresser for Common Identity Host |
|---|---|
|
Nord-Amerika |
|
|
Den europeiske union |
|
|
Canada |
|
| Singapore |
|
| De forente arabiske emirater |
|
Krav til proxy-server
-
Vi støtter offisielt følgende proxy-løsninger som kan integreres med nodene for hybriddatasikkerhet.
-
Gjennomsiktig proxy – Cisco Web Security Appliance (WSA).
-
Eksplisitt proxy – Squid.
Squid-proxyer som inspiserer HTTPS-trafikk kan forstyrre opprettelsen av websocket-tilkoblinger (wss:). Hvis du vil omgå dette problemet, kan du se Konfigurere Squid-proxyer for hybriddatasikkerhet.
-
-
Vi støtter følgende kombinasjoner av godkjenningstyper for eksplisitte proxyer:
-
Ingen godkjenning med HTTP eller HTTPS
-
Grunnleggende godkjenning med HTTP eller HTTPS
-
Digest-godkjenning kun med HTTPS
-
-
For en gjennomsiktig inspeksjons-proxy eller en eksplisitt HTTPS-proxy, må du ha en kopi av proxyens rotsertifikat. Distribusjonsinstruksjonene i denne veiledningen forteller deg hvordan du laster opp kopien til klareringslagrene for hybriddatasikkerhetsnodene.
-
Nettverket som er vert for HDS-nodene, må konfigureres til å tvinge utgående TCP-trafikk på port 443 til å rute gjennom proxyen.
-
Proxyer som inspiserer webtrafikk kan forstyrre Web Socket-tilkoblinger. Hvis dette problemet oppstår, vil det å omgå (ikke inspisere) trafikk til
wbx2.comogciscospark.comløse problemet.
Fullfør forutsetningene for hybrid datasikkerhet
| 1 |
Sørg for at partnerorganisasjonen din har HDS-funksjonen for flere leietakere aktivert og få legitimasjonen til en konto med fullstendig partneradministrator og fullstendige administratorrettigheter. Påse at Webex-kundeorganisasjonen er aktivert for Pro Pack for Cisco Webex Control Hub. Kontakt din Cisco-partner eller kontoadministrator for å få hjelp med denne prosessen. Kundeorganisasjoner skal ikke ha noen eksisterende HDS-distribusjon. |
| 2 |
Velg et domenenavn for HDS-distribusjonen (for eksempel |
| 3 |
Klargjør identiske virtuelle verter som du vil konfigurere som Hybrid Data Security-noder i klyngen. Du trenger minst to separate verter (3 anbefales) plassert i samme sikre datasenter, som oppfyller kravene i Krav til virtuelle verter. |
| 4 |
Klargjør databaseserveren som skal fungere som nøkkeldatalager for klyngen, i henhold til Databaseserverkrav. Databaseserveren må være plassert i det sikre datasenteret med de virtuelle vertene. |
| 5 |
For rask katastrofegjenoppretting konfigurerer du et sikkerhetskopieringsmiljø i et annet datasenter. Sikkerhetskopieringsmiljøet gjenspeiler produksjonsmiljøet til VM-er og en sikkerhetskopidatabaseserver. Hvis for eksempel produksjonen har 3 VM-er som kjører HDS-noder, skal sikkerhetskopieringsmiljøet ha 3 VM-er. |
| 6 |
Sett opp en syslog-vert for å samle inn logger fra nodene i klyngen. Samle nettverksadressen og syslog-porten (standard er UDP 514). |
| 7 |
Opprett en sikker sikkerhetskopieringspolicy for nodene for hybriddatasikkerhet, databaseserveren og syslog-verten. For å forhindre ugjenopprettelig tap av data må du som minimum sikkerhetskopiere databasen og konfigurasjonsfilen som genereres for nodene for hybriddatasikkerhet. Fordi nodene for hybriddatasikkerhet lagrer nøklene som brukes til kryptering og dekryptering av innhold, vil manglende vedlikehold av en operativ distribusjon føre til UGJENOPPRETTELIG TAP av dette innholdet. Webex-appklienter bufrer nøklene sine, så det kan hende at et driftsbrudd ikke er umiddelbart merkbart, men vil bli tydelig over tid. Selv om midlertidige avbrudd er umulig å forhindre, kan de gjenopprettes. Fullstendig tap (ingen sikkerhetskopieringer tilgjengelig) av enten databasen eller konfigurasjons-ISO-filen vil imidlertid føre til ugjenopprettbare kundedata. Operatørene av nodene for hybriddatasikkerhet forventes å opprettholde hyppige sikkerhetskopieringer av databasen og konfigurasjonsfilen, og være forberedt på å gjenoppbygge datasenteret for hybriddatasikkerhet hvis det oppstår en katastrofal feil. |
| 8 |
Kontroller at brannmurkonfigurasjonen tillater tilkobling for hybriddatasikkerhetsnodene som beskrevet i Krav til ekstern tilkobling. |
| 9 |
Installer Docker ( https://www.docker.com) på en hvilken som helst lokal maskin som kjører et støttet operativsystem (Microsoft Windows 10 Professional eller Enterprise 64-biters, eller Mac OSX Yosemite 10.10.3 eller nyere) med en nettleser som har tilgang til det på http://127.0.0.1:8080. Du bruker Docker-forekomsten til å laste ned og kjøre HDS-installasjonsverktøyet, som bygger den lokale konfigurasjonsinformasjonen for alle nodene for hybriddatasikkerhet. Du trenger kanskje en Docker Desktop-lisens. Se Krav til Docker Desktop for mer informasjon. For å installere og kjøre HDS-installasjonsverktøyet må den lokale maskinen ha tilkoblingen beskrevet i Krav til ekstern tilkobling. |
| 10 |
Hvis du integrerer en proxy med hybriddatasikkerhet, må du sørge for at den oppfyller kravene til proxy-serveren. |
Konfigurere en klynge for hybriddatasikkerhet
Oppgaveflyt for distribusjon av hybrid datasikkerhet
| 1 |
Utfør første konfigurasjon og last ned installasjonsfiler Last ned OVA-filen til din lokale maskin for senere bruk. |
| 2 |
Opprette en konfigurasjons-ISO for HDS-verter Bruk HDS-installasjonsverktøyet til å opprette en ISO-konfigurasjonsfil for nodene for hybriddatasikkerhet. |
| 3 |
Opprett en virtuell maskin fra OVA-filen og utfør første konfigurasjon, for eksempel nettverksinnstillinger. Alternativet for å konfigurere nettverksinnstillinger under OVA-distribusjon er testet med ESXi 7.0. Alternativet er kanskje ikke tilgjengelig i tidligere versjoner. |
| 4 |
Konfigurere VM for hybriddatasikkerhet Logg på VM-konsollen og angi påloggingslegitimasjonen. Konfigurer nettverksinnstillingene for noden hvis du ikke konfigurerte dem da OVA ble distribuert. |
| 5 |
Laste opp og montere konfigurasjons-ISO for HDS Konfigurer VM fra ISO-konfigurasjonsfilen du opprettet med HDS-installasjonsverktøyet. |
| 6 |
Konfigurere HDS-noden for proxy-integrering Hvis nettverksmiljøet krever proxy-konfigurasjon, angir du hvilken type proxy du vil bruke for noden, og legger til proxy-sertifikatet i klareringslageret om nødvendig. |
| 7 |
Registrer den første noden i klyngen Registrer VM med Cisco Webex-skyen som en hybrid datasikkerhetsnode. |
| 8 |
Opprett og registrer flere noder Fullfør klyngeoppsettet. |
| 9 |
Aktiver HDS for flere leietakere på Partner Hub. Aktiver HDS og administrer leierorganisasjoner på Partner Hub. |
Utfør første konfigurasjon og last ned installasjonsfiler
I denne oppgaven laster du ned en OVA-fil til maskinen din (ikke til serverne du konfigurerer som Hybrid Data Security-noder). Du bruker denne filen senere i installasjonsprosessen.
| 1 |
Logg på Partner Hub, og klikk deretter på Tjenester. |
| 2 |
Finn kortet for hybriddatasikkerhet under Skytjenester, og klikk deretter på Konfigurer. Å klikke på Konfigurer i Partner Hub er avgjørende for distribusjonsprosessen. Ikke fortsett med installasjonen uten å fullføre dette trinnet. |
| 3 |
Klikk på Legg til en ressurs , og klikk på Last ned .OVA-fil på kortet Installer og konfigurer programvare . Eldre versjoner av programvarepakken (OVA) vil ikke være kompatible med de nyeste oppgraderingene for hybriddatasikkerhet. Dette kan føre til problemer under oppgradering av programmet. Sørg for at du laster ned den nyeste versjonen av OVA-filen. Du kan også laste ned OVA når som helst fra Hjelp -delen. Klikk på . OVA-filen begynner automatisk å lastes ned. Lagre filen på en plassering på maskinen.
|
| 4 |
Du kan eventuelt klikke på Se distribusjonsveiledning for hybriddatasikkerhet for å sjekke om det finnes en senere versjon av denne veiledningen. |
Opprette en konfigurasjons-ISO for HDS-verter
Installasjonsprosessen for hybriddatasikkerhet oppretter en ISO-fil. Deretter bruker du ISO til å konfigurere verten for hybriddatasikkerhet.
Før du begynner
-
HDS-installasjonsverktøyet kjører som en Docker-beholder på en lokal maskin. Kjør Docker på maskinen for å få tilgang til den. Installasjonsprosessen krever legitimasjonen til en Partner Hub-konto med fulle administratorrettigheter.
Hvis du ikke har en Docker Desktop-lisens, kan du bruke Podman Desktop til å kjøre HDS-installasjonsverktøyet i trinn 1 til 5 i fremgangsmåten nedenfor. Se Kjør HDS-installasjonsverktøy ved hjelp av Podman Desktop for detaljer.
Hvis HDS-installasjonsverktøyet kjører bak en proxy i miljøet ditt, må du oppgi proxy-innstillingene (server, port, legitimasjon) gjennom Docker-miljøvariablene når du tar opp Docker-beholderen i trinn 5 nedenfor. Denne tabellen viser noen mulige miljøvariabler:
Beskrivelse
Variabel
HTTP-proxy uten autentisering
GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORTHTTPS-proxy uten autentisering
GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORTHTTP-proxy med autentisering
GLOBAL_AGENT_HTTP_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORTHTTPS-proxy med autentisering
GLOBAL_AGENT_HTTPS_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT -
ISO-konfigurasjonsfilen du genererer, inneholder hovednøkkelen som krypterer PostgreSQL- eller Microsoft SQL Server-databasen. Du trenger den nyeste kopien av denne filen hver gang du gjør konfigurasjonsendringer, for eksempel disse:
-
Databaselegitimasjon
-
Sertifikatoppdateringer
-
Endringer i godkjenningspolicyen
-
-
Hvis du planlegger å kryptere databasetilkoblinger, konfigurerer du distribusjonen av PostgreSQL eller SQL Server for TLS.
| 1 |
På maskinens kommandolinje angir du riktig kommando for miljøet: I vanlige miljøer: I FedRAMP-miljøer: Dette trinnet rydder opp tidligere HDS-installasjonsverktøy bilder. Hvis det ikke finnes noen tidligere bilder, returnerer det en feil som du kan ignorere. | ||||||||||
| 2 |
Skriv inn følgende for å logge på Docker-bilderegisteret: | ||||||||||
| 3 |
Skriv inn denne hashen når du blir bedt om passord: | ||||||||||
| 4 |
Last ned det nyeste stabile bildet for miljøet ditt: I vanlige miljøer: I FedRAMP-miljøer: | ||||||||||
| 5 |
Når trekket er fullført, skriver du inn riktig kommando for ditt miljø:
Når containeren kjører, ser du "Express server lytter på port 8080." | ||||||||||
| 6 |
Installasjonsverktøyet støtter ikke tilkobling til localhost via http://localhost:8080. Bruk http://127.0.0.1:8080 for å koble til localhost. Bruk en nettleser til å gå til localhost, Verktøyet bruker denne første oppføringen av brukernavnet til å angi riktig miljø for kontoen. Verktøyet viser deretter standard påloggingsmelding. | ||||||||||
| 7 |
Når du blir bedt om det, skriver du inn påloggingslegitimasjonen for Partner Hub-administrator, og klikker deretter på Logg på for å gi tilgang til de nødvendige tjenestene for hybriddatasikkerhet. | ||||||||||
| 8 |
Klikk på Kom i gang på oversiktssiden for oppsettsverktøyet. | ||||||||||
| 9 |
På siden ISO-import har du disse alternativene:
| ||||||||||
| 10 |
Kontroller at X.509-sertifikatet oppfyller kravene i X.509-sertifikatkrav.
| ||||||||||
| 11 |
Skriv inn databaseadressen og kontoen for HDS for å få tilgang til nøkkeldatalageret: | ||||||||||
| 12 |
Velg en TLS-databasetilkoblingsmodus:
Når du laster opp rotsertifikatet (om nødvendig) og klikker på Fortsett, tester HDS-installasjonsverktøyet TLS-tilkoblingen til databaseserveren. Verktøyet bekrefter også sertifikatsigneringen og vertsnavnet, hvis aktuelt. Hvis en test mislykkes, viser verktøyet en feilmelding som beskriver problemet. Du kan velge om du vil ignorere feilen og fortsette med oppsettet. (På grunn av tilkoblingsforskjeller kan HDS-nodene være i stand til å etablere TLS-tilkoblingen selv om HDS-installasjonsverktøyet ikke kan teste den.) | ||||||||||
| 13 |
På siden Systemlogger konfigurerer du Syslogd-serveren: | ||||||||||
| 14 |
(Valgfritt) Du kan endre standardverdien for noen parametere for databasetilkobling i Avanserte innstillinger. Generelt er denne parameteren den eneste du kanskje vil endre: | ||||||||||
| 15 |
Klikk på Fortsett på skjermen Tilbakestill passord for tjenestekontoer . Passord for tjenestekontoen har en levetid på ni måneder. Bruk dette skjermbildet når passordene nærmer seg utløpsdatoen, eller du vil tilbakestille dem til å ugyldiggjøre tidligere ISO-filer. | ||||||||||
| 16 |
Klikk på Last ned ISO-fil. Lagre filen på et sted som er lett å finne. | ||||||||||
| 17 |
Ta en sikkerhetskopi av ISO-filen på ditt lokale system. Behold sikkerhetskopien sikker. Denne filen inneholder en hovedkrypteringsnøkkel for databaseinnholdet. Begrens tilgangen til bare de hybriddatasikkerhetsadministratorene som skal foreta konfigurasjonsendringer. | ||||||||||
| 18 |
Hvis du vil slå av installasjonsverktøyet, skriver du inn |
Hva du skal gjøre nå
Sikkerhetskopier ISO-konfigurasjonsfilen. Du trenger den for å opprette flere noder for gjenoppretting, eller for å gjøre konfigurasjonsendringer. Hvis du mister alle kopier av ISO-filen, har du også mistet hovednøkkelen. Det er ikke mulig å gjenopprette nøklene fra PostgreSQL- eller Microsoft SQL Server-databasen.
Vi har aldri en kopi av denne nøkkelen og kan ikke hjelpe hvis du mister den.
Installere HDS Host OVA
| 1 |
Bruk VMware vSphere-klienten på datamaskinen for å logge på den virtuelle ESXi-verten. |
| 2 |
Velg Fil > Distribuer OVF-mal. |
| 3 |
I veiviseren angir du plasseringen til OVA-filen du lastet ned tidligere, og klikker deretter på Neste. |
| 4 |
På siden Velg et navn og mappe skriver du inn et Virtuelt maskinnavn for noden (for eksempel «HDS_Node_1»), velger et sted der den virtuelle maskinnodedistribusjonen kan ligge, og klikker deretter på Neste. |
| 5 |
På siden Velg en beregningsressurs velger du destinasjonsberegningsressursen, og klikker deretter på Neste. En valideringskontroll kjører. Når den er ferdig, vises maldetaljene. |
| 6 |
Bekreft maldetaljene, og klikk deretter på Neste. |
| 7 |
Hvis du blir bedt om å velge ressurskonfigurasjonen på Konfigurasjon -siden, klikker du på 4 CPU og klikker deretter på Neste. |
| 8 |
På siden Velg lagring klikker du på Neste for å godta standard diskformat og retningslinjer for lagring av VM. |
| 9 |
På siden Velg nettverk velger du nettverksalternativet fra listen over oppføringer for å gi ønsket tilkobling til VM-en. |
| 10 |
Konfigurer følgende nettverksinnstillinger på siden Tilpass mal :
Hvis du vil, kan du hoppe over konfigurasjonen av nettverksinnstillingene og følge trinnene i Konfigurere VM for hybriddatasikkerhet for å konfigurere innstillingene fra nodekonsollen. Alternativet for å konfigurere nettverksinnstillinger under OVA-distribusjon er testet med ESXi 7.0. Alternativet er kanskje ikke tilgjengelig i tidligere versjoner. |
| 11 |
Høyreklikk på noden VM, og velg deretter . Programvaren for hybrid datasikkerhet installeres som gjest på VM-verten. Du er nå klar til å logge på konsollen og konfigurere noden. Feilsøkingstips Du kan oppleve en forsinkelse på noen minutter før nodebeholderne kommer opp. Det vises en brobrannmurmelding på konsollen under første oppstart, hvor du ikke kan logge på. |
Konfigurere VM for hybriddatasikkerhet
Bruk denne fremgangsmåten til å logge på VM-konsollen for hybriddatasikkerhetsnoden for første gang og angi påloggingslegitimasjonen. Du kan også bruke konsollen til å konfigurere nettverksinnstillingene for noden hvis du ikke konfigurerte dem da OVA ble distribuert.
| 1 |
I VMware vSphere-klienten velger du den hybride datasikkerhetsnoden VM og velger fanen Konsoll . VM starter opp og en melding om pålogging vises. Hvis meldingen om pålogging ikke vises, trykker du på Enter.
|
| 2 |
Bruk følgende standard pålogging og passord for å logge på og endre legitimasjonen: Siden du logger på VM for første gang, må du endre administratorpassordet. |
| 3 |
Hvis du allerede har konfigurert nettverksinnstillingene i Installer HDS Host OVA, hopper du over resten av denne prosedyren. Hvis ikke, velger du alternativet Rediger konfigurasjon i hovedmenyen. |
| 4 |
Konfigurer en statisk konfigurasjon med IP-adresse, maske, gateway og DNS-informasjon. Noden din skal ha en intern IP-adresse og et DNS-navn. DHCP støttes ikke. |
| 5 |
(Valgfritt) Endre vertsnavnet, domenet eller NTP-serveren(e) om nødvendig for å samsvare med nettverkspolicyen. Du trenger ikke å angi domenet til å samsvare med domenet du brukte til å skaffe X.509-sertifikatet. |
| 6 |
Lagre nettverkskonfigurasjonen og start VM på nytt slik at endringene trer i kraft. |
Laste opp og montere konfigurasjons-ISO for HDS
Før du begynner
Fordi ISO-filen innehar hovednøkkelen, bør den bare eksponeres på "trenger å vite"-basis, for tilgang for virtuelle maskiner for hybriddatasikkerhet og eventuelle administratorer som må gjøre endringer. Sørg for at bare disse administratorene har tilgang til datalageret.
| 1 |
Last opp ISO-filen fra datamaskinen: |
| 2 |
Montere ISO-fil: |
Hva du skal gjøre nå
Hvis IT-policyen krever det, kan du eventuelt avmontere ISO-filen etter at alle nodene har plukket opp konfigurasjonsendringene. Se (Valgfritt) Avmonter ISO etter HDS-konfigurasjon for detaljer.
Konfigurere HDS-noden for proxy-integrering
Hvis nettverksmiljøet krever en proxy, bruker du denne fremgangsmåten til å angi hvilken type proxy du vil integrere med hybrid datasikkerhet. Hvis du velger en gjennomsiktig inspeksjons-proxy eller en eksplisitt HTTPS-proxy, kan du bruke nodens grensesnitt til å laste opp og installere rotsertifikatet. Du kan også sjekke proxy-tilkoblingen fra grensesnittet, og feilsøke eventuelle problemer.
Før du begynner
-
Se Proxy-støtte for en oversikt over proxy-alternativene som støttes.
| 1 |
Skriv inn URL-adressen for HDS-nodeoppsett |
| 2 |
Gå til Klareringslager og proxy, og velg deretter et alternativ:
Følg de neste trinnene for en gjennomsiktig inspeksjons-proxy, en eksplisitt HTTP-proxy med grunnleggende godkjenning eller en eksplisitt HTTPS-proxy. |
| 3 |
Klikk på Last opp et rotsertifikat eller sluttenhetssertifikat, og gå deretter til å velge rotsertifikatet for proxyen. Sertifikatet er lastet opp, men er ennå ikke installert fordi du må starte noden på nytt for å installere sertifikatet. Klikk på chevron-pilen ved navnet på sertifikatutstederen for å få mer informasjon, eller klikk på Slett hvis du har gjort en feil og vil laste opp filen på nytt. |
| 4 |
Klikk på Kontroller proxy-tilkobling for å teste nettverkstilkoblingen mellom noden og proxyen. Hvis tilkoblingstesten mislykkes, får du en feilmelding som viser årsaken og hvordan du kan løse problemet. Hvis du ser en melding om at den eksterne DNS-oppløsningen ikke var vellykket, kunne ikke noden nå DNS-serveren. Denne tilstanden forventes i mange eksplisitte proxy-konfigurasjoner. Du kan fortsette med oppsettet, og noden vil fungere i modus for blokkert ekstern DNS-oppløsning. Hvis du tror dette er en feil, fullfører du disse trinnene og ser Slå av blokkert ekstern DNS-oppløsningsmodus. |
| 5 |
Etter at tilkoblingstesten er bestått, bare for eksplisitt proxy satt til https, slår du veksleknappen til Rute alle port 443/444 https-forespørsler fra denne noden gjennom den eksplisitte proxyen. Denne innstillingen tar 15 sekunder før den trer i kraft. |
| 6 |
Klikk på Installer alle sertifikater i klareringslageret (vises for en eksplisitt HTTPS-proxy eller en gjennomsiktig inspeksjons-proxy) eller Start på nytt (vises for en eksplisitt HTTP-proxy), les ledeteksten og klikk deretter på Installer hvis du er klar. Noden starter på nytt innen noen få minutter. |
| 7 |
Når noden har startet på nytt, logger du på igjen om nødvendig og åpner deretter Oversikt -siden for å sjekke tilkoblingskontrollene for å sikre at alle er i grønn status. Proxy-tilkoblingskontrollen tester bare et underdomene av webex.com. Hvis det er tilkoblingsproblemer, er et vanlig problem at noen av skydomenene som er oppført i installasjonsinstruksjonene, blokkeres ved proxyen. |
Registrer den første noden i klyngen
Når du registrerer din første node, oppretter du en klynge som noden er tilordnet til. En klynge inneholder én eller flere noder som er distribuert for å gi redundans.
Før du begynner
-
Når du begynner å registrere en node, må du fullføre den innen 60 minutter, eller du må starte på nytt.
-
Sørg for at eventuelle popup-blokkere i nettleseren er deaktivert, eller at du tillater et unntak for admin.webex.com.
| 1 |
Logg på https://admin.webex.com. |
| 2 |
Velg Tjenester fra menyen til venstre på skjermen. |
| 3 |
I delen Skytjenester finner du kortet for hybriddatasikkerhet og klikker på Konfigurer. |
| 4 |
Klikk på Legg til en ressurs på siden som åpnes. |
| 5 |
I det første feltet i Legg til en node -kortet skriver du inn et navn på klyngen du vil tilordne hybriddatasikkerhetsnoden til. Vi anbefaler at du navngir en klynge basert på hvor nodene i klyngen befinner seg geografisk. Eksempler: "San Francisco" eller "New York" eller "Dallas" |
| 6 |
I det andre feltet skriver du inn den interne IP-adressen eller det fullstendige domenenavnet (FQDN) til noden og klikker på Legg til nederst på skjermen. Denne IP-adressen eller FQDN skal samsvare med IP-adressen eller vertsnavnet og domenet du brukte i Konfigurere VM for hybriddatasikkerhet. Det vises en melding som angir at du kan registrere noden din til Webex.
|
| 7 |
Klikk på Gå til node. Etter et øyeblikk blir du omdirigert til nodetilkoblingstestene for Webex-tjenester. Hvis alle testene er vellykkede, vises siden Gi tilgang til hybrid datasikkerhetsnode. Der bekrefter du at du vil gi tillatelse til Webex-organisasjonen din for å få tilgang til noden din. |
| 8 |
Merk av i avkrysningsboksen Gi tilgang til din hybride datasikkerhetsnode , og klikk deretter på Fortsett. Kontoen din er validert, og meldingen «Registreringen er fullført» indikerer at noden din nå er registrert i Webex-skyen.
|
| 9 |
Klikk på koblingen eller lukk fanen for å gå tilbake til Partner Hub Hybrid Data Security-siden. På siden Hybriddatasikkerhet vises den nye klyngen som inneholder noden du registrerte, under Ressurser -fanen. Noden vil automatisk laste ned den nyeste programvaren fra skyen.
|
Opprett og registrer flere noder
Før du begynner
-
Når du begynner å registrere en node, må du fullføre den innen 60 minutter, eller du må starte på nytt.
-
Sørg for at eventuelle popup-blokkere i nettleseren er deaktivert, eller at du tillater et unntak for admin.webex.com.
| 1 |
Opprett en ny virtuell maskin fra OVA, og gjenta trinnene i Installer HDS Host OVA. |
| 2 |
Konfigurer den første konfigurasjonen på den nye VM-en, og gjenta trinnene i Konfigurer VM for hybriddatasikkerhet. |
| 3 |
På den nye VM gjentar du trinnene i Last opp og monter HDS-konfigurasjons-ISO. |
| 4 |
Hvis du konfigurerer en proxy for distribusjonen, gjentar du trinnene i Konfigurer HDS-noden for proxy-integrasjon etter behov for den nye noden. |
| 5 |
Registrer noden. |
Administrere leietakerorganisasjoner for hybriddatasikkerhet for flere leietakere
Aktivere HDS for flere leietakere på Partner Hub
Denne oppgaven sikrer at alle brukere av kundeorganisasjonene kan begynne å bruke HDS for lokale krypteringsnøkler og andre sikkerhetstjenester.
Før du begynner
Sørg for at du har fullført konfigureringen av HDS-klyngen for flere leietakere med det nødvendige antallet noder.
| 1 |
Logg på https://admin.webex.com. |
| 2 |
Velg Tjenester fra menyen til venstre på skjermen. |
| 3 |
I delen Skytjenester finner du hybriddatasikkerhet og klikker på Rediger innstillinger. |
| 4 |
Klikk på Aktiver HDS på kortet HDS-status . |
Legg til leietakerorganisasjoner i Partner Hub
I denne oppgaven tilordner du kundeorganisasjoner til din hybride datasikkerhetsklynge.
| 1 |
Logg på https://admin.webex.com. |
| 2 |
Velg Tjenester fra menyen til venstre på skjermen. |
| 3 |
Finn hybriddatasikkerhet under Skytjenester, og klikk på Vis alle. |
| 4 |
Klikk på klyngen du vil at en kunde skal tilordnes til. |
| 5 |
Gå til fanen Tilordnede kunder . |
| 6 |
Klikk på Legg til kunder. |
| 7 |
Velg kunden du vil legge til, fra rullegardinmenyen. |
| 8 |
Klikk på Legg til, kunden blir lagt til i klyngen. |
| 9 |
Gjenta trinn 6 til 8 for å legge til flere kunder i klyngen. |
| 10 |
Klikk på Ferdig nederst på skjermen når du har lagt til kundene. |
Hva du skal gjøre nå
Opprett kundens hovednøkler (CMK-er) ved hjelp av HDS-installasjonsverktøyet
Før du begynner
Tilordne kunder til riktig klynge som beskrevet i Legg til leietakerorganisasjoner i Partner Hub. Kjør HDS-installasjonsverktøyet for å fullføre installasjonsprosessen for de nylig tillagte kundeorganisasjonene.
-
HDS-installasjonsverktøyet kjører som en Docker-beholder på en lokal maskin. Kjør Docker på maskinen for å få tilgang til den. Installasjonsprosessen krever legitimasjon for en Partner Hub-konto med fulle administratorrettigheter for organisasjonen din.
Hvis HDS-installasjonsverktøyet kjører bak en proxy i miljøet ditt, må du oppgi proxy-innstillingene (server, port, legitimasjon) gjennom Docker-miljøvariablene når du tar opp Docker-beholderen i trinn 5. Denne tabellen viser noen mulige miljøvariabler:
Beskrivelse
Variabel
HTTP-proxy uten autentisering
GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORTHTTPS-proxy uten autentisering
GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORTHTTP-proxy med autentisering
GLOBAL_AGENT_HTTP_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORTHTTPS-proxy med autentisering
GLOBAL_AGENT_HTTPS_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT -
ISO-konfigurasjonsfilen du genererer, inneholder hovednøkkelen som krypterer PostgreSQL- eller Microsoft SQL Server-databasen. Du trenger den nyeste kopien av denne filen hver gang du gjør konfigurasjonsendringer, for eksempel disse:
-
Databaselegitimasjon
-
Sertifikatoppdateringer
-
Endringer i godkjenningspolicyen
-
-
Hvis du planlegger å kryptere databasetilkoblinger, konfigurerer du distribusjonen av PostgreSQL eller SQL Server for TLS.
Installasjonsprosessen for hybriddatasikkerhet oppretter en ISO-fil. Deretter bruker du ISO til å konfigurere verten for hybriddatasikkerhet.
| 1 |
På maskinens kommandolinje angir du riktig kommando for miljøet: I vanlige miljøer: I FedRAMP-miljøer: Dette trinnet rydder opp tidligere HDS-installasjonsverktøy bilder. Hvis det ikke finnes noen tidligere bilder, returnerer det en feil som du kan ignorere. |
| 2 |
Skriv inn følgende for å logge på Docker-bilderegisteret: |
| 3 |
Skriv inn denne hashen når du blir bedt om passord: |
| 4 |
Last ned det nyeste stabile bildet for miljøet ditt: I vanlige miljøer: I FedRAMP-miljøer: |
| 5 |
Når trekket er fullført, skriver du inn riktig kommando for ditt miljø:
Når containeren kjører, ser du "Express server lytter på port 8080." |
| 6 |
Installasjonsverktøyet støtter ikke tilkobling til localhost via http://localhost:8080. Bruk http://127.0.0.1:8080 for å koble til localhost. Bruk en nettleser til å gå til localhost, Verktøyet bruker denne første oppføringen av brukernavnet til å angi riktig miljø for kontoen. Verktøyet viser deretter standard påloggingsmelding. |
| 7 |
Når du blir bedt om det, skriver du inn påloggingslegitimasjonen for Partner Hub-administrator, og klikker deretter på Logg på for å gi tilgang til de nødvendige tjenestene for hybriddatasikkerhet. |
| 8 |
Klikk på Kom i gang på oversiktssiden for oppsettsverktøyet. |
| 9 |
Klikk på Ja på siden ISO-import. |
| 10 |
Velg ISO-filen i nettleseren og last den opp. Sørg for tilkobling til databasen din for å utføre CMK-administrasjon. |
| 11 |
Gå til fanen Leietakers CMK-administrasjon , der du finner følgende tre måter å administrere leietakers CMK-er på.
|
| 12 |
Når CMK opprettes, endres statusen i tabellen fra CMK-administrasjon venter til CMK-administrert. |
| 13 |
Hvis opprettelsen av CMK mislykkes, vises en feilmelding. |
Fjern leietakerorganisasjoner
Før du begynner
Når de er fjernet, vil ikke brukere av kundeorganisasjoner kunne utnytte HDS for sine krypteringsbehov og vil miste alle eksisterende områder. Før du fjerner kundeorganisasjoner, må du kontakte din Cisco-partner eller kontoadministrator.
| 1 |
Logg på https://admin.webex.com. |
| 2 |
Velg Tjenester fra menyen til venstre på skjermen. |
| 3 |
Finn hybriddatasikkerhet under Skytjenester, og klikk på Vis alle. |
| 4 |
I fanen Ressurser klikker du på klyngen du vil fjerne kundeorganisasjoner fra. |
| 5 |
Klikk på Tilordnede kunder på siden som åpnes. |
| 6 |
Fra listen over kundeorganisasjoner som vises, klikker du på til høyre for kundeorganisasjonen du vil fjerne, og klikker på Fjern fra klynge. |
Hva du skal gjøre nå
Fullfør fjerningsprosessen ved å tilbakekalle kundeorganisasjonens CMK-er, som beskrevet i Tilbakekall CMK-er for leiere som er fjernet fra HDS.
Tilbakekall CMK-er for leiere som er fjernet fra HDS.
Før du begynner
Fjern kunder fra den aktuelle klyngen som beskrevet i Fjern leietakerorganisasjoner. Kjør HDS-installasjonsverktøyet for å fullføre fjerningsprosessen for kundeorganisasjonene som ble fjernet.
-
HDS-installasjonsverktøyet kjører som en Docker-beholder på en lokal maskin. Kjør Docker på maskinen for å få tilgang til den. Installasjonsprosessen krever legitimasjon for en Partner Hub-konto med fulle administratorrettigheter for organisasjonen din.
Hvis HDS-installasjonsverktøyet kjører bak en proxy i miljøet ditt, må du oppgi proxy-innstillingene (server, port, legitimasjon) gjennom Docker-miljøvariablene når du tar opp Docker-beholderen i trinn 5. Denne tabellen viser noen mulige miljøvariabler:
Beskrivelse
Variabel
HTTP-proxy uten autentisering
GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORTHTTPS-proxy uten autentisering
GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORTHTTP-proxy med autentisering
GLOBAL_AGENT_HTTP_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORTHTTPS-proxy med autentisering
GLOBAL_AGENT_HTTPS_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT -
ISO-konfigurasjonsfilen du genererer, inneholder hovednøkkelen som krypterer PostgreSQL- eller Microsoft SQL Server-databasen. Du trenger den nyeste kopien av denne filen hver gang du gjør konfigurasjonsendringer, for eksempel disse:
-
Databaselegitimasjon
-
Sertifikatoppdateringer
-
Endringer i godkjenningspolicyen
-
-
Hvis du planlegger å kryptere databasetilkoblinger, konfigurerer du distribusjonen av PostgreSQL eller SQL Server for TLS.
Installasjonsprosessen for hybriddatasikkerhet oppretter en ISO-fil. Deretter bruker du ISO til å konfigurere verten for hybriddatasikkerhet.
| 1 |
På maskinens kommandolinje angir du riktig kommando for miljøet: I vanlige miljøer: I FedRAMP-miljøer: Dette trinnet rydder opp tidligere HDS-installasjonsverktøy bilder. Hvis det ikke finnes noen tidligere bilder, returnerer det en feil som du kan ignorere. |
| 2 |
Skriv inn følgende for å logge på Docker-bilderegisteret: |
| 3 |
Skriv inn denne hashen når du blir bedt om passord: |
| 4 |
Last ned det nyeste stabile bildet for miljøet ditt: I vanlige miljøer: I FedRAMP-miljøer: |
| 5 |
Når trekket er fullført, skriver du inn riktig kommando for ditt miljø:
Når containeren kjører, ser du "Express server lytter på port 8080." |
| 6 |
Installasjonsverktøyet støtter ikke tilkobling til localhost via http://localhost:8080. Bruk http://127.0.0.1:8080 for å koble til localhost. Bruk en nettleser til å gå til localhost, Verktøyet bruker denne første oppføringen av brukernavnet til å angi riktig miljø for kontoen. Verktøyet viser deretter standard påloggingsmelding. |
| 7 |
Når du blir bedt om det, skriver du inn påloggingslegitimasjonen for Partner Hub-administrator, og klikker deretter på Logg på for å gi tilgang til de nødvendige tjenestene for hybriddatasikkerhet. |
| 8 |
Klikk på Kom i gang på oversiktssiden for oppsettsverktøyet. |
| 9 |
Klikk på Ja på siden ISO-import. |
| 10 |
Velg ISO-filen i nettleseren og last den opp. |
| 11 |
Gå til fanen Leietakers CMK-administrasjon , der du finner følgende tre måter å administrere leietakers CMK-er på.
|
| 12 |
Når CMK-opphevelse er fullført, vises ikke kundeorganisasjonen lenger i tabellen. |
| 13 |
Hvis CMK-tilbakekalling mislykkes, vises en feil. |
Test distribusjonen av hybrid datasikkerhet
Test distribusjonen av hybrid datasikkerhet
Før du begynner
-
Konfigurer distribusjonen av hybriddatasikkerhet for flere leietakere.
-
Sørg for at du har tilgang til syslog for å bekrefte at viktige forespørsler sendes til din distribusjon av hybriddatasikkerhet for flere leietakere.
| 1 |
Nøkler for et gitt område angis av skaperen av området. Logg på Webex-appen som en av brukerne av kundeorganisasjonen, og opprett deretter et område. Hvis du deaktiverer distribusjonen av hybriddatasikkerhet, er ikke innhold i områder som brukere oppretter, lenger tilgjengelig når de klientbufrede kopiene av krypteringsnøklene er erstattet. |
| 2 |
Send meldinger til det nye området. |
| 3 |
Kontroller syslog-utdataene for å bekrefte at nøkkelforespørslene sendes til distribusjonen av hybriddatasikkerhet. |
Overvåk sikkerhets helse for hybriddata
| 1 |
I Partner Hub velger du Tjenester fra menyen til venstre på skjermen. |
| 2 |
I delen Skytjenester finner du hybriddatasikkerhet og klikker på Rediger innstillinger. Siden Innstillinger for hybriddatasikkerhet vises.
|
| 3 |
Skriv inn én eller flere e-postadresser atskilt med komma i delen E-postvarsler, og trykk på Enter. |
Administrer HDS-distribusjonen din
Administrer HDS-distribusjon
Bruk oppgavene som er beskrevet her for å administrere distribusjonen av hybriddatasikkerhet.
Angi tidsplan for klyngeoppgradering
Slik angir du oppgraderingsplanen:
| 1 |
Logg på Partner Hub. |
| 2 |
Velg Tjenester fra menyen til venstre på skjermen. |
| 3 |
I delen Skytjenester finner du hybriddatasikkerhet og klikker på Konfigurer |
| 4 |
Velg klyngen på siden Hybrid Data Security Resources. |
| 5 |
Klikk på fanen Klyngeinnstillinger . |
| 6 |
Velg klokkeslett og tidssone for oppgraderingsplanen på siden Klyngeinnstillinger under Oppgraderingsplan. Merk: Under tidssonen vises neste tilgjengelige oppgraderingsdato og -klokkeslett. Du kan utsette oppgraderingen til neste dag ved å klikke på Utsett med 24 timer. |
Endre nodekonfigurasjonen
-
Endring av x.509-sertifikater på grunn av utløp eller andre årsaker.
Vi støtter ikke endring av CN-domenenavnet for et sertifikat. Domenet må samsvare med det opprinnelige domenet som ble brukt til å registrere klyngen.
-
Oppdaterer databaseinnstillinger for å endre til en kopi av PostgreSQL- eller Microsoft SQL Server-databasen.
Vi støtter ikke overføring av data fra PostgreSQL til Microsoft SQL Server, eller motsatt måte. Start en ny distribusjon av hybriddatasikkerhet for å bytte databasemiljøet.
-
Opprette en ny konfigurasjon for å klargjøre et nytt datasenter.
Av sikkerhetshensyn bruker Hybrid Data Security også passord for tjenestekontoer som har en levetid på ni måneder. Når HDS-installasjonsverktøyet har generert disse passordene, distribuerer du dem til hver av HDS-nodene i ISO-konfigurasjonsfilen. Når organisasjonens passord nærmer seg utløpsdato, mottar du et varsel fra Webex-teamet om å tilbakestille passordet for maskinkontoen din. (E-posten inneholder teksten "Bruk maskinkontoens API til å oppdatere passordet.") Hvis passordene dine ikke er utløpt ennå, gir verktøyet deg to alternativer:
-
Myk tilbakestilling– De gamle og de nye passordene fungerer begge i opptil 10 dager. Bruk denne perioden til å erstatte ISO-filen på nodene gradvis.
-
Hard tilbakestilling – De gamle passordene slutter å fungere umiddelbart.
Hvis passordene utløper uten tilbakestilling, påvirker det HDS-tjenesten din, noe som krever en umiddelbar hard tilbakestilling og erstatning av ISO-filen på alle noder.
Bruk denne fremgangsmåten til å generere en ny ISO-konfigurasjonsfil og bruke den på klyngen.
Før du begynner
-
HDS-installasjonsverktøyet kjører som en Docker-beholder på en lokal maskin. Kjør Docker på maskinen for å få tilgang til den. Installasjonsprosessen krever legitimasjon for en Partner Hub-konto med fullstendige partneradministratorrettigheter.
Hvis du ikke har en Docker Desktop-lisens, kan du bruke Podman Desktop til å kjøre HDS-installasjonsverktøyet for trinn 1.a til 1.e i prosedyren nedenfor. Se Kjør HDS-installasjonsverktøy ved hjelp av Podman Desktop for detaljer.
Hvis HDS-installasjonsverktøyet kjører bak en proxy i miljøet ditt, må du oppgi proxy-innstillingene (server, port, legitimasjon) gjennom Docker-miljøvariablene når du tar opp Docker-beholderen i 1.e. Denne tabellen viser noen mulige miljøvariabler:
Beskrivelse
Variabel
HTTP-proxy uten autentisering
GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORTHTTPS-proxy uten autentisering
GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORTHTTP-proxy med autentisering
GLOBAL_AGENT_HTTP_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORTHTTPS-proxy med autentisering
GLOBAL_AGENT_HTTPS_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT -
Du trenger en kopi av den gjeldende ISO-konfigurasjonsfilen for å generere en ny konfigurasjon. ISO inneholder hovednøkkelen som krypterer PostgreSQL- eller Microsoft SQL Server-databasen. Du trenger ISO når du gjør konfigurasjonsendringer, inkludert databaselegitimasjon, sertifikatoppdateringer eller endringer i godkjenningspolicyen.
| 1 |
Kjør HDS-installasjonsverktøyet ved hjelp av Docker på en lokal maskin. |
| 2 |
Hvis du bare kjører én HDS-node, oppretter du en ny hybrid datasikkerhetsnode VM og registrerer den ved hjelp av den nye ISO-konfigurasjonsfilen. Hvis du vil ha mer detaljerte instruksjoner, kan du se Opprette og registrere flere noder. |
| 3 |
Montere ISO-filen for eksisterende HDS-noder som kjører den eldre konfigurasjonsfilen. Utfør følgende prosedyre på hver node igjen, og oppdater hver node før du slår av neste node: |
| 4 |
Gjenta trinn 3 for å erstatte konfigurasjonen på hver gjenværende node som kjører den gamle konfigurasjonen. |
Slå av blokkert ekstern DNS-oppløsningsmodus
Når du registrerer en node eller sjekker nodens proxy-konfigurasjon, tester prosessen DNS-oppslag og tilkobling til Cisco Webex-skyen. Hvis nodens DNS-server ikke kan løse offentlige DNS-navn, går noden automatisk inn i modus for blokkert ekstern DNS-oppløsning.
Hvis nodene dine kan løse offentlige DNS-navn gjennom interne DNS-servere, kan du slå av denne modusen ved å kjøre proxy-tilkoblingstesten på nytt på hver node.
Før du begynner
| 1 |
Åpne nodegrensesnittet for hybriddatasikkerhet i en nettleser (IP-adresse/oppsett, for eksempel https://192.0.2.0/setup), angi administratorlegitimasjonen du har konfigurert for noden, og klikk deretter på Logg på. |
| 2 |
Gå til Oversikt (standardsiden). Når den er aktivert, settes Blokkert ekstern DNS-oppløsning til Ja. |
| 3 |
Gå til siden Klareringslager og proxy . |
| 4 |
Klikk på Kontroller proxy-tilkobling. Hvis du ser en melding om at den eksterne DNS-oppløsningen ikke var vellykket, kunne ikke noden nå DNS-serveren og vil forbli i denne modusen. Hvis ikke, etter at du har startet noden på nytt og gått tilbake til Oversikt -siden, skal Blokkert ekstern DNS-oppløsning settes til Nei. |
Hva du skal gjøre nå
Fjerne en node
| 1 |
Bruk VMware vSphere-klienten på datamaskinen til å logge på den virtuelle ESXi-verten og slå av den virtuelle maskinen. |
| 2 |
Fjern noden: |
| 3 |
Slett VM-en i vSphere-klienten. (Høyreklikk på VM i venstre navigasjonsrute, og klikk på Slett.) Hvis du ikke sletter VM-en, må du huske å avmontere ISO-konfigurasjonsfilen. Uten ISO-filen kan du ikke bruke VM til å få tilgang til sikkerhetsdataene dine. |
Katastrofegjenoppretting ved hjelp av standbydatasenter
Den mest kritiske tjenesten som din hybride datasikkerhetsklynge tilbyr, er oppretting og lagring av nøkler som brukes til å kryptere meldinger og annet innhold som er lagret i Webex-skyen. For hver bruker i organisasjonen som er tilordnet hybriddatasikkerhet, rutes nye forespørsler om nøkkeloppretting til klyngen. Klyngen er også ansvarlig for å returnere nøklene den er opprettet til brukere som er autorisert til å hente dem, for eksempel medlemmer av et samtaleområde.
Fordi klyngen utfører den kritiske funksjonen med å levere disse nøklene, er det viktig at klyngen forblir i drift og at riktige sikkerhetskopier opprettholdes. Tap av hybriddatasikkerhetsdatabasen eller konfigurasjons-ISO som brukes for skjemaet, vil føre til UGJENOPPRETTELIG TAP av kundeinnhold. Følgende fremgangsmåter er obligatoriske for å forhindre et slikt tap:
Hvis en katastrofe fører til at HDS-distribusjonen i det primære datasenteret blir utilgjengelig, følger du denne fremgangsmåten for å manuelt failover til standbydatasenteret.
Før du begynner
| 1 |
Start HDS-installasjonsverktøyet og følg trinnene som er nevnt i Opprett en konfigurasjons-ISO for HDS-verter. |
| 2 |
Fullfør konfigurasjonsprosessen og lagre ISO-filen på et sted som er lett å finne. |
| 3 |
Ta en sikkerhetskopi av ISO-filen på ditt lokale system. Behold sikkerhetskopien sikker. Denne filen inneholder en hovedkrypteringsnøkkel for databaseinnholdet. Begrens tilgangen til bare de hybriddatasikkerhetsadministratorene som skal foreta konfigurasjonsendringer. |
| 4 |
Høyreklikk på VM i venstre navigasjonsrute til VMware vSphere-klienten, og klikk på Rediger innstillinger. |
| 5 |
Klikk på Rediger innstillinger >CD/DVD-stasjon 1 og velg ISO-fil for datalager. Kontroller at Tilkoblet og Koble til ved påslått er merket av slik at oppdaterte konfigurasjonsendringer kan tre i kraft etter at nodene er startet. |
| 6 |
Slå på HDS-noden og sørg for at det ikke er noen alarmer i minst 15 minutter. |
| 7 |
Registrer noden i Partner Hub. Se Registrer den første noden i klyngen. |
| 8 |
Gjenta prosessen for hver node i standbydatasenteret. |
Hva du skal gjøre nå
(Valgfritt) Fjern ISO etter HDS-konfigurasjon
Standard HDS-konfigurasjon kjøres med ISO-montert. Men noen kunder foretrekker ikke å forlate ISO-filer kontinuerlig montert. Du kan avmontere ISO-filen etter at alle HDS-nodene har tatt opp den nye konfigurasjonen.
Du bruker fortsatt ISO-filene til å foreta konfigurasjonsendringer. Når du oppretter en ny ISO eller oppdaterer en ISO gjennom installasjonsverktøyet, må du montere den oppdaterte ISO-en på alle HDS-nodene dine. Når alle nodene har plukket opp konfigurasjonsendringene, kan du avmontere ISO-en igjen med denne fremgangsmåten.
Før du begynner
Oppgrader alle HDS-nodene dine til versjon 2021.01.22.4720 eller nyere.
| 1 |
Slå av en av HDS-nodene dine. |
| 2 |
Velg HDS-noden i vCenter Server Appliance. |
| 3 |
Velg og fjern merket for ISO-fil for datalager. |
| 4 |
Slå på HDS-noden og sørg for at det ikke er noen alarmer i minst 20 minutter. |
| 5 |
Gjenta for hver HDS-node i sin tur. |
Feilsøke hybrid datasikkerhet
Vis varsler og feilsøking
En distribusjon av hybriddatasikkerhet anses som utilgjengelig hvis alle nodene i klyngen ikke er tilgjengelige, eller klyngen fungerer så sakte at forespørslene blir tidsavbrutt. Hvis brukere ikke kan nå din hybride datasikkerhetsklynge, opplever de følgende symptomer:
-
Nye områder kan ikke opprettes (kan ikke opprette nye nøkler)
-
Meldinger og områdetitler kan ikke dekrypteres for:
-
Nye brukere lagt til i et område (kan ikke hente nøkler)
-
Eksisterende brukere i et område som bruker en ny klient (kan ikke hente nøkler)
-
-
Eksisterende brukere i et område vil fortsette å kjøre vellykket så lenge klientene deres har en hurtigbuffer med krypteringsnøklene
Det er viktig at du overvåker den hybride datasikkerhetsklyngen riktig og adresserer eventuelle varsler umiddelbart for å unngå tjenesteavbrudd.
Varsler
Hvis det er et problem med oppsettet av hybriddatasikkerhet, viser Partner Hub varsler til organisasjonens administrator og sender e-post til den konfigurerte e-postadressen. Varslene dekker mange vanlige scenarier.
|
Varsel |
Handling |
|---|---|
|
Feil ved tilgang til lokal database. |
Se etter databasefeil eller lokale nettverksproblemer. |
|
Feil ved lokal databasetilkobling. |
Kontroller at databaseserveren er tilgjengelig, og at riktig tjenestekontolegitimasjon ble brukt i nodekonfigurasjonen. |
|
Feil ved tilgang til skytjeneste. |
Kontroller at nodene har tilgang til Webex-serverne som angitt i Krav til ekstern tilkobling. |
|
Fornye registrering av skytjeneste. |
Registrering til skytjenester ble avbrutt. Fornyelse av registrering pågår. |
|
Registrering av skytjeneste avbrutt. |
Registrering til skytjenester avsluttet. Tjenesten er stengt. |
|
Tjenesten er ikke aktivert ennå. |
Aktiver HDS i Partner Hub. |
|
Konfigurert domene samsvarer ikke med serversertifikatet. |
Kontroller at serversertifikatet samsvarer med det konfigurerte tjenesteaktiveringsdomenet. Den mest sannsynlige årsaken er at sertifikatets CN nylig ble endret og nå er forskjellig fra CN som ble brukt under den første installasjonen. |
|
Kunne ikke autentisere seg til skytjenester. |
Sjekk for nøyaktighet og mulig utløp av legitimasjon for tjenestekontoen. |
|
Kunne ikke åpne lokal nøkkelbutikkfil. |
Kontroller integritet og passordnøyaktighet på den lokale nøkkelbutikkfilen. |
|
Det lokale serversertifikatet er ugyldig. |
Kontroller serversertifikatets utløpsdato og bekreft at det ble utstedt av en klarert sertifiseringsinstans. |
|
Kan ikke legge ut måledata. |
Kontroller lokal nettverkstilgang til eksterne skytjenester. |
|
/media/configdrive/hds-katalog finnes ikke. |
Kontroller konfigurasjonen av ISO-monteringen på virtuell vert. Kontroller at ISO-filen finnes, at den er konfigurert til å monteres ved omstart, og at den monteres. |
|
Oppsett av leietakerorganisasjon er ikke fullført for de tilførte organisasjonene |
Fullfør oppsettet ved å opprette CMK-er for nylig tillagte leietakerorganisasjoner ved hjelp av HDS-installasjonsverktøyet. |
|
Oppsett av leietakerorganisasjon er ikke fullført for fjernede organisasjoner |
Fullfør oppsettet ved å tilbakekalle CMK-er for leietakerorganisasjoner som ble fjernet ved hjelp av HDS-installasjonsverktøyet. |
Feilsøke hybrid datasikkerhet
| 1 |
Se gjennom Partner Hub for eventuelle varsler og fikse eventuelle elementer du finner der. Se bildet nedenfor for referanse. |
| 2 |
Se gjennom syslog-serverens utdata for aktivitet fra distribusjonen av hybriddatasikkerhet. Filtrer etter ord som "Advarsel" og "Feil" for å hjelpe til med feilsøking. |
| 3 |
Kontakt Ciscos kundestøtte. |
Andre merknader
Kjente problemer for hybrid datasikkerhet
-
Hvis du avslutter klyngen for hybriddatasikkerhet (ved å slette den i Partner Hub eller ved å avslutte alle noder), mister konfigurasjons-ISO-filen eller mister tilgangen til nøkkelbutikkdatabasen, kan ikke Webex-appbrukere i kundeorganisasjoner lenger bruke områder under Personer-listen sin som ble opprettet med nøkler fra KMS. Vi har for øyeblikket ingen løsning eller løsning på dette problemet, og vi oppfordrer deg til ikke å avslutte HDS-tjenestene når de håndterer aktive brukerkontoer.
-
En klient som har en eksisterende ECDH-tilkobling til en KMS opprettholder denne tilkoblingen i en tidsperiode (sannsynligvis én time).
Kjør HDS-installasjonsverktøyet ved hjelp av Podman Desktop
Podman er et gratis og åpen kildekode containeradministrasjonsverktøy som gir en måte å kjøre, administrere og opprette containere på. Podman Desktop kan lastes ned fra https://podman-desktop.io/downloads.
-
HDS-installasjonsverktøyet kjører som en Docker-beholder på en lokal maskin. For å få tilgang til den må du laste ned og kjøre Podman på den maskinen. Installasjonsprosessen krever legitimasjonen til en Control Hub-konto med fulle administratorrettigheter for organisasjonen din.
Hvis HDS-installasjonsverktøyet kjører bak en proxy i miljøet ditt, må du oppgi proxy-innstillingene (server, port, legitimasjon) gjennom Docker-miljøvariablene når du tar opp Docker-beholderen i trinn 5. Denne tabellen viser noen mulige miljøvariabler:
Beskrivelse
Variabel
HTTP-proxy uten autentisering
GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORTHTTPS-proxy uten autentisering
GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORTHTTP-proxy med autentisering
GLOBAL_AGENT_HTTP_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORTHTTPS-proxy med autentisering
GLOBAL_AGENT_HTTPS_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT -
ISO-konfigurasjonsfilen du genererer, inneholder hovednøkkelen som krypterer PostgreSQL- eller Microsoft SQL Server-databasen. Du trenger den nyeste kopien av denne filen hver gang du gjør konfigurasjonsendringer, for eksempel disse:
-
Databaselegitimasjon
-
Sertifikatoppdateringer
-
Endringer i godkjenningspolicyen
-
-
Hvis du planlegger å kryptere databasetilkoblinger, konfigurerer du distribusjonen av PostgreSQL eller SQL Server for TLS.
Installasjonsprosessen for hybriddatasikkerhet oppretter en ISO-fil. Deretter bruker du ISO til å konfigurere verten for hybriddatasikkerhet.
| 1 |
På maskinens kommandolinje angir du riktig kommando for miljøet: I vanlige miljøer: I FedRAMP-miljøer: Dette trinnet rydder opp tidligere HDS-installasjonsverktøy bilder. Hvis det ikke finnes noen tidligere bilder, returnerer det en feil som du kan ignorere. |
| 2 |
Skriv inn følgende for å logge på Docker-bilderegisteret: |
| 3 |
Skriv inn denne hashen når du blir bedt om passord: |
| 4 |
Last ned det nyeste stabile bildet for miljøet ditt: I vanlige miljøer: I FedRAMP-miljøer: |
| 5 |
Når trekket er fullført, skriver du inn riktig kommando for ditt miljø:
Når containeren kjører, ser du "Express server lytter på port 8080." |
Hva du skal gjøre nå
Bruk OpenSSL til å generere en PKCS12-fil
Før du begynner
-
OpenSSL er et verktøy som kan brukes til å lage PKCS12-filen i riktig format for lasting i HDS Setup Tool. Det finnes andre måter å gjøre dette på, og vi støtter ikke eller fremmer en måte fremfor en annen.
-
Hvis du velger å bruke OpenSSL, tilbyr vi denne prosedyren som en veiledning for å hjelpe deg med å opprette en fil som oppfyller X.509-sertifikatkravene i X.509-sertifikatkrav. Forstå disse kravene før du fortsetter.
-
Installer OpenSSL i et støttet miljø. Se https://www.openssl.org for programvare og dokumentasjon.
-
Opprett en privat nøkkel.
-
Start denne prosedyren når du mottar serversertifikatet fra Certificate Authority (CA).
| 1 |
Når du mottar serversertifikatet fra din sertifiseringsinstans, lagrer du det som |
| 2 |
Vis sertifikatet som tekst og bekreft detaljene.
|
| 3 |
Bruk et tekstredigeringsprogram til å opprette en sertifikatbuntfil kalt
|
| 4 |
Opprett .p12-filen med det vennlige navnet
|
| 5 |
Kontroller serversertifikatdetaljene. |
Hva du skal gjøre nå
Gå tilbake til Fullfør forutsetningene for hybrid datasikkerhet. Du bruker hdsnode.p12 filen og passordet du har angitt for den, i Opprett en konfigurasjons-ISO for HDS-verter.
Du kan bruke disse filene på nytt for å be om et nytt sertifikat når det opprinnelige sertifikatet utløper.
Trafikk mellom HDS-nodene og skyen
Utgående metrikkinnsamlingstrafikk
Nodene for hybriddatasikkerhet sender visse målinger til Webex-skyen. Disse inkluderer systemmålinger for maks. heap, heap brukt, CPU-belastning og antall tråder, målinger på synkrone og asynkrone tråder, målinger på varsler som involverer en terskel for krypteringstilkoblinger, ventetid eller lengde på en forespørselskø, målinger på datalageret og krypteringstilkoblingsmålinger. Nodene sender kryptert nøkkelmateriale over en kanal utenfor båndet (atskilt fra forespørselen).
Innkommende trafikk
Nodene for hybriddatasikkerhet mottar følgende typer innkommende trafikk fra Webex-skyen:
-
Krypteringsforespørsler fra klienter som rutes av krypteringstjenesten
-
Oppgraderinger til nodeprogramvaren
Konfigurere Squid-proxyer for hybriddatasikkerhet
Websocket kan ikke koble til via Squid-proxy
Squid-proxyer som inspiserer HTTPS-trafikk kan forstyrre etableringen av websocket (wss:)-tilkoblinger som hybriddatasikkerhet krever. Disse delene gir veiledning om hvordan du konfigurerer forskjellige versjoner av Squid til å ignorere wss: trafikk for riktig drift av tjenestene.
Squid 4 og 5
Legg til on_unsupported_protocol direktivet i squid.conf:
on_unsupported_protocol tunnel allSquid 3.5.27
Vi testet hybriddatasikkerhet med følgende regler lagt til i squid.conf. Disse reglene kan endres etter hvert som vi utvikler funksjoner og oppdaterer Webex-skyen.
acl wssMercuryConnection ssl::server_name_regex mercury-connection
ssl_bump splice wssMercuryConnection
acl step1 at_step SslBump1
acl step2 at_step SslBump2
acl step3 at_step SslBump3
ssl_bump peek step1 all
ssl_bump stare step2 all
ssl_bump bump step3 allNy og endret informasjon
Ny og endret informasjon
Denne tabellen dekker nye funksjoner eller funksjonalitet, endringer i eksisterende innhold og eventuelle større feil som ble rettet i Distribusjonsveiledningen for hybrid datasikkerhet for flere leietakere.
|
Dato |
Endringer gjort |
|---|---|
|
8. mai 2025 |
|
| 4. mars 2025 |
|
|
30. januar 2025 |
La til SQL Server versjon 2022 i listen over støttede SQL-servere i Krav til databaseserver. |
|
15. januar 2025 |
Lagt til Begrensninger for hybrid datasikkerhet med flere leietakere. |
|
8. januar 2025 |
La til et notat i Utfør første oppsett og last ned installasjonsfiler som sier at det å klikke på Konfigurer på HDS-kortet i Partner Hub er et viktig trinn i installasjonsprosessen. |
|
7. januar 2025 |
Oppdaterte Krav til virtuell vert, Oppgaveflyt for distribusjon av hybrid datasikkerhetog Installer HDS-verten OVA for å vise de nye kravene til ESXi 7.0. |
|
13. desember 2024 |
Først publisert. |
Deaktiver hybrid datasikkerhet for flere leietakere
Oppgaveflyt for deaktivering av HDS for flere leietakere
Følg disse trinnene for å deaktivere HDS med flere leietakere fullstendig.
Før du begynner
| 1 |
Fjern alle kunder fra alle klyngene dine, som nevnt i Fjern leietakerorganisasjoner. |
| 2 |
Tilbakekalle CMK-ene til alle kunder, som nevnt i Tilbakekalle CMK-er for leietakere fjernet fra HDS.. |
| 3 |
Fjern alle noder fra alle klyngene dine, som nevnt i Fjern en node. |
| 4 |
Slett alle klyngene dine fra Partner Hub ved hjelp av én av følgende to metoder.
|
| 5 |
Klikk på fanen Innstillinger på oversiktssiden for hybrid datasikkerhet, og klikk på Deaktiver HDS på HDS-statuskortet. |
Kom i gang med hybrid datasikkerhet for flere leietakere
Oversikt over hybrid datasikkerhet for flere leietakere
Fra dag én har datasikkerhet vært hovedfokuset i utformingen av Webex-appen. Hjørnesteinen i denne sikkerheten er ende-til-ende-innholdskryptering, aktivert av Webex-appklienter som samhandler med nøkkelhåndteringstjenesten (KMS). KMS-et er ansvarlig for å opprette og administrere kryptografiske nøkler som klienter bruker til å dynamisk kryptere og dekryptere meldinger og filer.
Som standard får alle Webex-appkunder ende-til-ende-kryptering med dynamiske nøkler lagret i sky-KMS, i Ciscos sikkerhetsområde. Hybrid datasikkerhet flytter KMS-systemet og andre sikkerhetsrelaterte funksjoner til bedriftens datasenter, slik at ingen andre enn deg har nøklene til det krypterte innholdet.
Hybrid datasikkerhet for flere leietakere lar organisasjoner utnytte HDS gjennom en pålitelig lokal partner, som kan fungere som en tjenesteleverandør og administrere lokal kryptering og andre sikkerhetstjenester. Dette oppsettet gir partnerorganisasjonen full kontroll over distribusjon og administrasjon av krypteringsnøkler og sikrer at brukerdata fra kundeorganisasjoner er trygge fra ekstern tilgang. Partnerorganisasjoner setter opp HDS-instanser og oppretter HDS-klynger etter behov. Hver instans kan støtte flere kundeorganisasjoner, i motsetning til en vanlig HDS-distribusjon som er begrenset til én enkelt organisasjon.
Dette gjør det også mulig for mindre organisasjoner å utnytte HDS, siden nøkkelhåndteringstjenester og sikkerhetsinfrastruktur som datasentre eies av den pålitelige lokale partneren.
Hvordan hybrid datasikkerhet med flere leietakere gir datasuverenitet og datakontroll
- Brukergenerert innhold er beskyttet mot ekstern tilgang, som fra skytjenesteleverandører.
- Lokale betrodde partnere administrerer krypteringsnøklene til kunder de allerede har et etablert forhold til.
- Mulighet for lokal teknisk støtte, hvis partneren tilbyr dette.
- Støtter møter, meldinger og samtaleinnhold.
Dette dokumentet har som mål å hjelpe partnerorganisasjoner med å sette opp og administrere kunder under et hybrid datasikkerhetssystem for flere leietakere.
Begrensninger ved hybrid datasikkerhet for flere leietakere
- Partnerorganisasjoner må ikke ha noen eksisterende HDS-distribusjon aktiv i Control Hub.
- Leietaker- eller kundeorganisasjoner som ønsker å bli administrert av en partner, må ikke ha noen eksisterende HDS-distribusjon i Control Hub.
- Når Multi-Tenant HDS er distribuert av partneren, begynner alle brukere av kundeorganisasjoner samt brukere av partnerorganisasjonen å bruke Multi-Tenant HDS for sine krypteringstjenester.
Partnerorganisasjonen og kundeorganisasjonene de administrerer vil være på samme Multi-Tenant HDS-distribusjon.
Partnerorganisasjonen vil ikke lenger bruke skybasert KMS etter at Multi-Tenant HDS er distribuert.
- Det finnes ingen mekanisme for å flytte nøkler tilbake til Cloud KMS etter en HDS-distribusjon.
- For øyeblikket kan hver HDS-distribusjon med flere leietakere bare ha én klynge, med flere noder under den.
- Administratorroller har visse begrensninger. Se avsnittet nedenfor for detaljer.
Roller i hybrid datasikkerhet med flere leietakere
- Fullstendig partneradministrator – Kan administrere innstillinger for alle kunder som partneren administrerer. Kan også tilordne administratorroller til eksisterende brukere i organisasjonen og tilordne bestemte kunder som skal administreres av partneradministratorer.
- Partneradministrator – Kan administrere innstillinger for kunder som administratoren har klargjort eller som er tilordnet brukeren.
- Full administrator – Administrator for partnerorganisasjonen som er autorisert til å utføre oppgaver som å endre organisasjonsinnstillinger, administrere lisenser og tildele roller.
- Oppsett og administrasjon av komplett HDS for flere leietakere for alle kundeorganisasjoner – Full administratorrettigheter for partnere kreves.
- Administrasjon av tildelte leietakerorganisasjoner - Partneradministrator og fulle administratorrettigheter kreves.
Sikkerhetsrikets arkitektur
Webex-skyarkitekturen skiller ulike typer tjenester inn i separate områder, eller tillitsdomener, som vist nedenfor.
For å forstå hybrid datasikkerhet bedre, la oss først se på dette rene skytilfellet, der Cisco tilbyr alle funksjoner i skyverdenen sin. Identitetstjenesten, det eneste stedet hvor brukere kan bli direkte korrelert med sin personlige informasjon, som for eksempel e-postadresse, er logisk og fysisk atskilt fra sikkerhetsområdet i datasenter B. Begge er igjen atskilt fra området der kryptert innhold til slutt lagres, i datasenter C.
I dette diagrammet er klienten Webex-appen som kjører på en brukers bærbare datamaskin, og som har autentisert seg med identitetstjenesten. Når brukeren skriver en melding som skal sendes til et rom, skjer følgende trinn:
-
Klienten oppretter en sikker forbindelse med nøkkelhåndteringstjenesten (KMS), og ber deretter om en nøkkel for å kryptere meldingen. Den sikre forbindelsen bruker ECDH, og KMS krypterer nøkkelen med en AES-256-hovednøkkel.
-
Meldingen krypteres før den forlater klienten. Klienten sender den til indekseringstjenesten, som oppretter krypterte søkeindekser for å hjelpe til med fremtidige søk etter innholdet.
-
Den krypterte meldingen sendes til samsvarstjenesten for samsvarskontroller.
-
Den krypterte meldingen lagres i lagringsområdet.
Når du distribuerer hybrid datasikkerhet, flytter du sikkerhetsfunksjonene (KMS, indeksering og samsvar) til ditt lokale datasenter. De andre skytjenestene som utgjør Webex (inkludert identitets- og innholdslagring) forblir i Ciscos område.
Samarbeid med andre organisasjoner
Brukere i organisasjonen din kan regelmessig bruke Webex-appen til å samarbeide med eksterne deltakere i andre organisasjoner. Når en av brukerne dine ber om en nøkkel til et område som eies av organisasjonen din (fordi det ble opprettet av en av brukerne dine), sender KMS-systemet ditt nøkkelen til klienten via en ECDH-sikret kanal. Men når en annen organisasjon eier nøkkelen for plassen, ruter KMS-systemet ditt forespørselen ut til Webex-skyen gjennom en separat ECDH-kanal for å hente nøkkelen fra det aktuelle KMS-systemet, og returnerer deretter nøkkelen til brukeren på den opprinnelige kanalen.
KMS-tjenesten som kjører på organisasjon A validerer tilkoblingene til KMS-er i andre organisasjoner ved hjelp av x.509 PKI-sertifikater. Se Klargjør miljøet ditt for detaljer om hvordan du genererer et x.509-sertifikat som skal brukes med din Multi-Tenant Hybrid Data Security-distribusjon.
Forventninger til implementering av hybrid datasikkerhet
En implementering av hybrid datasikkerhet krever betydelig forpliktelse og en bevissthet om risikoene som følger med å eie krypteringsnøkler.
For å implementere hybrid datasikkerhet må du oppgi:
-
Et sikkert datasenter i et land som er et støttet sted for Cisco Webex Teams-abonnementene.
-
Utstyret, programvaren og nettverkstilgangen som er beskrevet i Klargjør miljøet ditt.
Fullstendig tap av enten konfigurasjons-ISO-en du bygger for Hybrid Data Security eller databasen du oppgir, vil føre til tap av nøklene. Nøkkeltap hindrer brukere i å dekryptere plassinnhold og andre krypterte data i Webex-appen. Hvis dette skjer, kan du bygge en ny distribusjon, men bare nytt innhold vil være synlig. For å unngå tap av tilgang til data, må du:
-
Administrer sikkerhetskopiering og gjenoppretting av databasen og konfigurasjons-ISO-en.
-
Vær forberedt på å utføre rask katastrofegjenoppretting hvis en katastrofe inntreffer, for eksempel feil på databasedisken eller datasenterkatastrofe.
Det finnes ingen mekanisme for å flytte nøkler tilbake til skyen etter en HDS-distribusjon.
Høynivåoppsettprosess
Dette dokumentet dekker oppsett og administrasjon av en hybrid datasikkerhetsdistribusjon med flere leietakere:
-
Konfigurer hybrid datasikkerhet– Dette inkluderer å forberede nødvendig infrastruktur og installere hybrid datasikkerhetsprogramvare, bygge en HDS-klynge, legge til leietakerorganisasjoner i klyngen og administrere kundens hovednøkler (CMK-er). Dette vil gjøre det mulig for alle brukere i kundeorganisasjonene dine å bruke hybriddatasikkerhetsklyngen din til sikkerhetsfunksjoner.
Oppsett-, aktiverings- og administrasjonsfasene dekkes i detalj i de neste tre kapitlene.
-
Vedlikehold din hybride datasikkerhetsdistribusjon– Webex-skyen tilbyr automatisk kontinuerlige oppgraderinger. IT-avdelingen din kan tilby støtte på nivå én for denne utrullingen, og engasjere Cisco-støtte etter behov. Du kan bruke varsler på skjermen og konfigurere e-postbaserte varsler i Partner Hub.
-
Forstå vanlige varsler, feilsøkingstrinn og kjente problemer– Hvis du støter på problemer med å distribuere eller bruke Hybrid Data Security, kan det siste kapittelet i denne veiledningen og tillegget om kjente problemer hjelpe deg med å finne og løse problemet.
Hybrid distribusjonsmodell for datasikkerhet
Innenfor bedriftens datasenter distribuerer du Hybrid Data Security som en enkelt klynge av noder på separate virtuelle verter. Nodene kommuniserer med Webex-skyen via sikre websockets og sikker HTTP.
Under installasjonsprosessen gir vi deg OVA-filen for å konfigurere den virtuelle enheten på de virtuelle maskinene du stiller til rådighet. Du bruker HDS-oppsettverktøyet til å opprette en tilpasset ISO-fil for klyngekonfigurasjon som du monterer på hver node. Hybrid Data Security-klyngen bruker den oppgitte Syslogd-serveren og PostgreSQL- eller Microsoft SQL Server-databasen. (Du konfigurerer Syslogd og databasetilkoblingsdetaljene i HDS-oppsettverktøyet.)
Minimum antall noder du kan ha i en klynge er to. Vi anbefaler minst tre per klynge. Å ha flere noder sikrer at tjenesten ikke avbrytes under en programvareoppgradering eller annen vedlikeholdsaktivitet på en node. (Webex-skyen oppgraderer bare én node om gangen.)
Alle noder i en klynge har tilgang til det samme nøkkeldatalageret og logger aktivitet til den samme syslog-serveren. Selve nodene er statsløse og håndterer viktige forespørsler i runde-robin-modus, som anvist av skyen.
Noder blir aktive når du registrerer dem i Partner Hub. For å ta en individuell node ut av drift, kan du avregistrere den og senere registrere den på nytt om nødvendig.
Standby-datasenter for katastrofegjenoppretting
Under utrullingen setter du opp et sikkert reservedatasenter. I tilfelle en datasenterkatastrofe kan du manuelt overføre utrullingen til reservedatasenteret.
Databasene til de aktive og standby-datasentrene er synkroniserte med hverandre, noe som vil minimere tiden det tar å utføre failover.
De aktive Hybrid Data Security-nodene må alltid være i samme datasenter som den aktive databaseserveren.
Proxy-støtte
Hybrid datasikkerhet støtter eksplisitte, transparente inspiserende og ikke-inspiserende proxyer. Du kan knytte disse proxy-tjenerne til distribusjonen din, slik at du kan sikre og overvåke trafikk fra bedriften og ut til skyen. Du kan bruke et plattformadministratorgrensesnitt på nodene for sertifikatadministrasjon og for å sjekke den generelle tilkoblingsstatusen etter at du har konfigurert proxyen på nodene.
Hybrid Data Security-nodene støtter følgende proxy-alternativer:
-
Ingen proxy– Standardinnstillingen hvis du ikke bruker HDS-nodeoppsettet Trust Store & Proxy-konfigurasjon for å integrere en proxy. Ingen sertifikatoppdatering er nødvendig.
-
Transparent ikke-inspiserende proxy– Nodene er ikke konfigurert til å bruke en spesifikk proxy-serveradresse og skal ikke kreve noen endringer for å fungere med en ikke-inspiserende proxy. Ingen sertifikatoppdatering er nødvendig.
-
Transparent tunnelering eller inspeksjon av proxy– Nodene er ikke konfigurert til å bruke en spesifikk proxy-serveradresse. Ingen endringer i HTTP- eller HTTPS-konfigurasjonen er nødvendige på nodene. Nodene trenger imidlertid et rotsertifikat slik at de stoler på proxyen. Inspeksjon av proxyer brukes vanligvis av IT for å håndheve retningslinjer for hvilke nettsteder som kan besøkes og hvilke typer innhold som ikke er tillatt. Denne typen proxy dekrypterer all trafikken din (til og med HTTPS).
-
Eksplisitt proxy– Med eksplisitt proxy forteller du HDS-nodene hvilken proxy-server og autentiseringsskjema de skal bruke. For å konfigurere en eksplisitt proxy, må du angi følgende informasjon på hver node:
-
Proxy IP/FQDN– Adresse som kan brukes til å nå proxy-maskinen.
-
Proxy-port– Et portnummer som proxyen bruker til å lytte etter proxy-trafikk.
-
Proxy-protokoll– Avhengig av hva proxy-serveren din støtter, kan du velge mellom følgende protokoller:
-
HTTP – Viser og kontrollerer alle forespørsler som klienten sender.
-
HTTPS – Gir en kanal til serveren. Klienten mottar og validerer serverens sertifikat.
-
-
Autentiseringstype– Velg blant følgende autentiseringstyper:
-
Ingen– Ingen ytterligere autentisering er nødvendig.
Tilgjengelig hvis du velger enten HTTP eller HTTPS som proxy-protokoll.
-
Grunnleggende– Brukes av en HTTP-brukeragent for å oppgi brukernavn og passord når en forespørsel sendes. Bruker Base64-koding.
Tilgjengelig hvis du velger enten HTTP eller HTTPS som proxy-protokoll.
Krever at du oppgir brukernavn og passord på hver node.
-
Sammendrag– Brukes til å bekrefte kontoen før sensitiv informasjon sendes. Bruker en hash-funksjon på brukernavnet og passordet før sending over nettverket.
Bare tilgjengelig hvis du velger HTTPS som proxy-protokoll.
Krever at du oppgir brukernavn og passord på hver node.
-
-
Eksempel på hybride datasikkerhetsnoder og proxy
Dette diagrammet viser et eksempel på en tilkobling mellom Hybrid Data Security, nettverket og en proxy. For proxy-alternativene for transparent inspeksjon og HTTPS-eksplisitt inspeksjon må det samme rotsertifikatet installeres på proxyen og på Hybrid Data Security-nodene.
Blokkert ekstern DNS-oppløsningsmodus (eksplisitte proxy-konfigurasjoner)
Når du registrerer en node eller sjekker nodens proxy-konfigurasjon, tester prosessen DNS-oppslag og tilkobling til Cisco Webex-skyen. I distribusjoner med eksplisitte proxy-konfigurasjoner som ikke tillater ekstern DNS-løsning for interne klienter, går noden automatisk inn i modus for blokkert ekstern DNS-løsning hvis den ikke kan spørre DNS-serverne. I denne modusen kan noderegistrering og andre proxy-tilkoblingstester fortsette.
Forbered miljøet ditt
Krav til hybrid datasikkerhet for flere leietakere
Krav til Cisco Webex-lisens
Slik distribuerer du hybrid datasikkerhet for flere leietakere:
-
Partnerorganisasjoner: Kontakt Cisco-partneren eller kontoansvarlig din, og sørg for at flerleietakerfunksjonen er aktivert.
-
Leietakerorganisasjoner: Du må ha Pro Pack for Cisco Webex Control Hub. (Se https://www.cisco.com/go/pro-pack.)
Krav til Docker-skrivebordet
Før du installerer HDS-nodene dine, trenger du Docker Desktop for å kjøre et installasjonsprogram. Docker har nylig oppdatert lisensmodellen sin. Organisasjonen din kan kreve et betalt abonnement for Docker Desktop. For mer informasjon, se Docker-blogginnlegget « Docker oppdaterer og utvider produktabonnementene våre».
Kunder uten Docker Desktop-lisens kan bruke et åpen kildekode-verktøy for containeradministrasjon som Podman Desktop til å kjøre, administrere og opprette containere. Se Kjør HDS-oppsettverktøyet med Podman Desktop for detaljer.
Krav til X.509-sertifikat
Sertifikatkjeden må oppfylle følgende krav:
|
Behov |
Detaljer |
|---|---|
|
Som standard stoler vi på CA-ene i Mozilla-listen (med unntak av WoSign og StartCom) på https://wiki.mozilla.org/CA:IncludedCAs. |
|
CN-en trenger ikke å være tilgjengelig eller en live vert. Vi anbefaler at du bruker et navn som gjenspeiler organisasjonen din, for eksempel KN-en må ikke inneholde en * (jokertegn). CN-en brukes til å bekrefte hybriddatasikkerhetsnodene til Webex-appklienter. Alle hybriddatasikkerhetsnodene i klyngen din bruker det samme sertifikatet. KMS-systemet ditt identifiserer seg ved hjelp av CN-domenet, ikke et hvilket som helst domene som er definert i x.509v3 SAN-feltene. Når du har registrert en node med dette sertifikatet, støtter vi ikke endring av CN-domenenavnet. |
|
KMS-programvaren støtter ikke SHA1-signaturer for validering av tilkoblinger til andre organisasjoners KMS-er. |
|
Du kan bruke en konverter som OpenSSL for å endre formatet på sertifikatet ditt. Du må oppgi passordet når du kjører HDS-oppsettverktøyet. |
KMS-programvaren håndhever ikke begrensninger for nøkkelbruk eller utvidede nøkkelbruk. Noen sertifikatmyndigheter krever at utvidede begrensninger for nøkkelbruk legges til grunn for hvert sertifikat, for eksempel serverautentisering. Det er greit å bruke serverautentisering eller andre innstillinger.
Krav til virtuelle verter
De virtuelle vertene du skal sette opp som hybride datasikkerhetsnoder i klyngen din, har følgende krav:
-
Minst to separate verter (3 anbefalt) samlokalisert i samme sikre datasenter
-
VMware ESXi 7.0 eller 8.0 installert og kjører.
Du må oppgradere hvis du har en tidligere versjon av ESXi.
-
Minimum 4 vCPU-er, 8 GB hovedminne, 30 GB lokal harddiskplass per server
Krav til databaseserver
Opprett en ny database for nøkkellagring. Ikke bruk standarddatabasen. HDS-applikasjonene oppretter databaseskjemaet når de er installert.
Det finnes to alternativer for databaseserveren. Kravene for hver av dem er som følger:
|
PostgreSQL |
Microsoft SQL Server |
|---|---|
|
|
|
Minimum 8 vCPU-er, 16 GB hovedminne, tilstrekkelig harddiskplass og overvåking for å sikre at den ikke overskrides (2 TB anbefales hvis du vil kjøre databasen over lengre tid uten å måtte øke lagringsplassen) |
Minimum 8 vCPU-er, 16 GB hovedminne, tilstrekkelig harddiskplass og overvåking for å sikre at den ikke overskrides (2 TB anbefales hvis du vil kjøre databasen over lengre tid uten å måtte øke lagringsplassen) |
HDS-programvaren installerer for øyeblikket følgende driverversjoner for kommunikasjon med databaseserveren:
|
PostgreSQL |
Microsoft SQL Server |
|---|---|
|
Postgres JDBC-driver 42.2.5 |
SQL Server JDBC-driver 4.6 Denne driverversjonen støtter SQL Server Always On ( Always On Failover Cluster Instances og Always On tilgjengelighetsgrupper). |
Ytterligere krav for Windows-autentisering mot Microsoft SQL Server
Hvis du vil at HDS-noder skal bruke Windows-autentisering for å få tilgang til nøkkeldatabasen din på Microsoft SQL Server, trenger du følgende konfigurasjon i miljøet ditt:
-
HDS-nodene, Active Directory-infrastrukturen og MS SQL Server må alle synkroniseres med NTP.
-
Windows-kontoen du oppgir til HDS-noder må ha read/write tilgang til databasen.
-
DNS-serverne du tilbyr HDS-noder må kunne løse nøkkeldistribusjonssenteret ditt (KDC).
-
Du kan registrere HDS-databaseforekomsten på Microsoft SQL Server som et Service Principal Name (SPN) i Active Directory. Se Registrer et tjenestehovednavn for Kerberos-tilkoblinger.
HDS-oppsettverktøyet, HDS-startprogrammet og det lokale KMS-systemet må alle bruke Windows-autentisering for å få tilgang til nøkkellagerdatabasen. De bruker detaljene fra ISO-konfigurasjonen din til å konstruere SPN-en når de ber om tilgang med Kerberos-autentisering.
Krav til eksterne tilkoblinger
Konfigurer brannmuren din til å tillate følgende tilkobling for HDS-applikasjonene:
|
Søknad |
Protokoll |
Havn |
Veibeskrivelse fra appen |
Destinasjon |
|---|---|---|---|---|
|
Hybride datasikkerhetsnoder |
TCP |
443 |
Utgående HTTPS og WSS |
|
|
HDS-oppsettverktøy |
TCP |
443 |
Utgående HTTPS |
|
Hybrid Data Security-nodene fungerer med nettverkstilgangsoversettelse (NAT) eller bak en brannmur, så lenge NAT-en eller brannmuren tillater de nødvendige utgående tilkoblingene til domenemålene i den foregående tabellen. For tilkoblinger som går inn til Hybrid Data Security-nodene, skal ingen porter være synlige fra Internett. Innenfor datasenteret ditt trenger klienter tilgang til Hybrid Data Security-nodene på TCP-portene 443 og 22 for administrative formål.
URL-ene for CI-vertene (Common Identity) er regionspesifikke. Dette er de nåværende CI-vertene:
|
Region |
Felles identitetsverts-URL-er |
|---|---|
|
Amerika |
|
|
Den europeiske union |
|
|
Canada |
|
| Singapore |
|
| De forente arabiske emirater |
|
Krav til proxy-server
-
Vi støtter offisielt følgende proxy-løsninger som kan integreres med dine hybride datasikkerhetsnoder.
-
Gjennomsiktig proxy – Cisco Web Security Appliance (WSA).
-
Eksplisitt proxy – blekksprut.
Squid-proxyer som inspiserer HTTPS-trafikk kan forstyrre etableringen av websocket (wss:) forbindelser. For å omgå dette problemet, se Konfigurer Squid-proxyer for hybrid datasikkerhet.
-
-
Vi støtter følgende autentiseringstypekombinasjoner for eksplisitte proxyer:
-
Ingen autentisering med HTTP eller HTTPS
-
Grunnleggende autentisering med HTTP eller HTTPS
-
Digest-autentisering kun med HTTPS
-
-
For en transparent inspiserende proxy eller en eksplisitt HTTPS-proxy må du ha en kopi av proxyens rotsertifikat. Distribusjonsinstruksjonene i denne veiledningen forteller deg hvordan du laster opp kopien til Hybrid Data Security-nodenes klareringslagre.
-
Nettverket som er vert for HDS-nodene må konfigureres til å tvinge utgående TCP-trafikk på port 443 til å rutes gjennom proxyen.
-
Proxyer som inspiserer webtrafikk kan forstyrre web socket-tilkoblinger. Hvis dette problemet oppstår, vil det å omgå (ikke inspisere) trafikk til
wbx2.comogciscospark.comløse problemet.
Fullfør forutsetningene for hybrid datasikkerhet
| 1 |
Sørg for at partnerorganisasjonen din har Multi-Tenant HDS-funksjonen aktivert, og hent legitimasjonen til en konto med partnerrettigheter og fulle administratorrettigheter. Sørg for at Webex-kundeorganisasjonen din er aktivert for Pro Pack for Cisco Webex Control Hub. Kontakt din Cisco-partner eller kontoansvarlige for å få hjelp med denne prosessen. Kundeorganisasjoner skal ikke ha noen eksisterende HDS-distribusjon. |
| 2 |
Velg et domenenavn for HDS-distribusjonen din (for eksempel |
| 3 |
Forbered identiske virtuelle verter som du vil konfigurere som hybride datasikkerhetsnoder i klyngen din. Du trenger minst to separate verter (3 anbefales) samlokalisert i samme sikre datasenter, som oppfyller kravene i Krav til virtuelle verter. |
| 4 |
Klargjør databaseserveren som skal fungere som nøkkeldatalager for klyngen, i henhold til Databaseserverkrav. Databaseserveren må være samlokalisert i det sikre datasenteret med de virtuelle vertene. |
| 5 |
For rask gjenoppretting etter katastrofer, sett opp et sikkerhetskopieringsmiljø i et annet datasenter. Sikkerhetskopieringsmiljøet speiler produksjonsmiljøet til virtuelle maskiner og en sikkerhetskopieringsdatabaseserver. Hvis for eksempel produksjonen har 3 virtuelle maskiner som kjører HDS-noder, bør sikkerhetskopieringsmiljøet ha 3 virtuelle maskiner. |
| 6 |
Konfigurer en syslog-vert for å samle inn logger fra nodene i klyngen. Hent nettverksadressen og syslog-porten (standard er UDP 514). |
| 7 |
Opprett en sikker sikkerhetskopieringspolicy for Hybrid Data Security-nodene, databaseserveren og syslog-verten. For å forhindre uopprettelig datatap må du som et minimum sikkerhetskopiere databasen og ISO-konfigurasjonsfilen som er generert for Hybrid Data Security-nodene. Fordi hybride datasikkerhetsnoder lagrer nøklene som brukes i kryptering og dekryptering av innhold, vil manglende opprettholdelse av en operativ distribusjon føre til UOPPRETTBART TAP av innholdet. Webex-appklienter bufrer nøklene sine, så et driftsavbrudd er kanskje ikke umiddelbart merkbart, men vil bli tydelig over tid. Selv om midlertidige avbrudd er umulige å forhindre, kan de gjenopprettes. Fullstendig tap (ingen sikkerhetskopier tilgjengelig) av enten databasen eller konfigurasjons-ISO-filen vil imidlertid føre til uopprettelige kundedata. Operatørene av Hybrid Data Security-nodene forventes å opprettholde hyppige sikkerhetskopier av databasen og ISO-konfigurasjonsfilen, og være forberedt på å gjenoppbygge Hybrid Data Security-datasenteret hvis det oppstår en katastrofal feil. |
| 8 |
Sørg for at brannmurkonfigurasjonen din tillater tilkobling for hybriddatasikkerhetsnodene dine som beskrevet i Krav til ekstern tilkobling. |
| 9 |
Installer Docker ( https://www.docker.com) på en hvilken som helst lokal maskin som kjører et støttet operativsystem (Microsoft Windows 10 Professional eller Enterprise 64-bit, eller Mac OSX Yosemite 10.10.3 eller nyere) med en nettleser som har tilgang til det på http://127.0.0.1:8080. Du bruker Docker-forekomsten til å laste ned og kjøre HDS Setup Tool, som bygger den lokale konfigurasjonsinformasjonen for alle Hybrid Data Security-nodene. Du trenger kanskje en Docker Desktop-lisens. Se Krav til Docker Desktop for mer informasjon. For å installere og kjøre HDS Setup Tool, må den lokale maskinen ha tilkoblingsmulighetene som er beskrevet i Krav til ekstern tilkobling. |
| 10 |
Hvis du integrerer en proxy med Hybrid Data Security, må du sørge for at den oppfyller Krav til proxyserver. |
Konfigurer en hybrid datasikkerhetsklynge
Oppgaveflyt for distribusjon av hybrid datasikkerhet
| 1 |
Utfør første oppsett og last ned installasjonsfiler Last ned OVA-filen til din lokale maskin for senere bruk. |
| 2 |
Opprett en konfigurasjons-ISO for HDS-vertene Bruk HDS-oppsettverktøyet til å opprette en ISO-konfigurasjonsfil for Hybrid Data Security-nodene. |
| 3 |
Opprett en virtuell maskin fra OVA-filen og utfør den første konfigurasjonen, for eksempel nettverksinnstillinger. Alternativet for å konfigurere nettverksinnstillinger under OVA-distribusjon har blitt testet med ESXi 7.0 og 8.0. Alternativet er kanskje ikke tilgjengelig i tidligere versjoner. |
| 4 |
Konfigurer den hybride virtuelle datamaskinen for datasikkerhet Logg på VM-konsollen og angi påloggingslegitimasjonen. Konfigurer nettverksinnstillingene for noden hvis du ikke konfigurerte dem da OVA-distribusjonen ble utført. |
| 5 |
Last opp og monter HDS-konfigurasjons-ISO-en Konfigurer den virtuelle maskinen fra ISO-konfigurasjonsfilen du opprettet med HDS-oppsettverktøyet. |
| 6 |
Konfigurer HDS-noden for proxy-integrasjon Hvis nettverksmiljøet krever proxy-konfigurasjon, angi hvilken type proxy du vil bruke for noden, og legg til proxy-sertifikatet i klareringslageret om nødvendig. |
| 7 |
Registrer den første noden i klyngen Registrer den virtuelle maskinen med Cisco Webex-skyen som en hybrid datasikkerhetsnode. |
| 8 |
Opprett og registrer flere noder Fullfør klyngeoppsettet. |
| 9 |
Aktiver HDS for flere leietakere på partnerhub. Aktiver HDS og administrer leietakerorganisasjoner på Partner Hub. |
Utfør første oppsett og last ned installasjonsfiler
I denne oppgaven laster du ned en OVA-fil til maskinen din (ikke til serverne du har satt opp som hybride datasikkerhetsnoder). Du bruker denne filen senere i installasjonsprosessen.
| 1 |
Logg på Partner Hub, og klikk deretter på Tjenester. |
| 2 |
I delen Skytjenester finner du kortet Hybrid datasikkerhet, og deretter klikker du på Konfigurer. Det er avgjørende for distribusjonsprosessen å klikke på Konfigurer i Partner Hub. Ikke fortsett med installasjonen uten å fullføre dette trinnet. |
| 3 |
Klikk på Legg til en ressurs og klikk på Last ned .OVA-fil på kortet Installer og konfigurer programvare. Eldre versjoner av programvarepakken (OVA) vil ikke være kompatible med de nyeste oppgraderingene for hybrid datasikkerhet. Dette kan føre til problemer under oppgradering av applikasjonen. Sørg for at du laster ned den nyeste versjonen av OVA-filen. Du kan også laste ned OVA når som helst fra Hjelp -delen. Klikk på . Nedlastingen av OVA-filen begynner automatisk. Lagre filen på en plassering på maskinen din.
|
| 4 |
Du kan eventuelt klikke på Se veiledning for implementering av hybrid datasikkerhet for å sjekke om det finnes en senere versjon av denne veiledningen. |
Opprett en konfigurasjons-ISO for HDS-vertene
Konfigurasjonsprosessen for hybrid datasikkerhet oppretter en ISO-fil. Deretter bruker du ISO-filen til å konfigurere Hybrid Data Security-verten din.
Før du begynner
-
HDS-oppsettverktøyet kjører som en Docker-container på en lokal maskin. For å få tilgang til den, kjør Docker på den maskinen. Oppsettprosessen krever påloggingsinformasjonen til en Partner Hub-konto med fulle administratorrettigheter.
Hvis du ikke har en Docker Desktop-lisens, kan du bruke Podman Desktop til å kjøre HDS-oppsettverktøyet for trinn 1 til 5 i prosedyren nedenfor. Se Kjør HDS-oppsettverktøyet med Podman Desktop for detaljer.
Hvis HDS-oppsettverktøyet kjører bak en proxy i miljøet ditt, må du oppgi proxy-innstillingene (server, port, legitimasjon) via Docker-miljøvariabler når du åpner Docker-containeren i trinn 5 nedenfor. Denne tabellen viser noen mulige miljøvariabler:
Beskrivelse
Variabel
HTTP-proxy uten autentisering
GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORTHTTPS-proxy uten autentisering
GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORTHTTP-proxy med autentisering
GLOBAL_AGENT_HTTP_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORTHTTPS-proxy med autentisering
GLOBAL_AGENT_HTTPS_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT -
Konfigurasjons-ISO-filen du genererer inneholder hovednøkkelen som krypterer PostgreSQL- eller Microsoft SQL Server-databasen. Du trenger den nyeste kopien av denne filen hver gang du gjør konfigurasjonsendringer, som disse:
-
Databaselegitimasjon
-
Sertifikatoppdateringer
-
Endringer i autorisasjonspolicyen
-
-
Hvis du planlegger å kryptere databasetilkoblinger, må du konfigurere PostgreSQL- eller SQL Server-distribusjonen din for TLS.
| 1 |
Skriv inn riktig kommando for miljøet ditt på maskinens kommandolinje: I vanlige miljøer: I FedRAMP-miljøer: Dette trinnet rydder opp i tidligere bilder av HDS-oppsettverktøyet. Hvis det ikke finnes noen tidligere bilder, returnerer den en feil som du kan ignorere. | ||||||||||
| 2 |
For å logge på Docker-avbildningsregisteret, skriv inn følgende: | ||||||||||
| 3 |
Ved passordledeteksten skriver du inn denne hashen: | ||||||||||
| 4 |
Last ned det nyeste stabile bildet for miljøet ditt: I vanlige miljøer: I FedRAMP-miljøer: | ||||||||||
| 5 |
Når hentingen er fullført, skriver du inn riktig kommando for miljøet ditt:
Når containeren kjører, ser du «Express-server lytter på port 8080». | ||||||||||
| 6 |
Installasjonsverktøyet støtter ikke tilkobling til localhost via http://localhost:8080. Bruk http://127.0.0.1:8080 for å koble til localhost. Bruk en nettleser til å gå til localhost, Verktøyet bruker denne første oppføringen av brukernavnet til å angi riktig miljø for den kontoen. Verktøyet viser deretter standard påloggingsledetekst. | ||||||||||
| 7 |
Når du blir bedt om det, skriver du inn påloggingsinformasjonen for Partner Hub-administratoren, og klikker deretter på Logg inn for å gi tilgang til de nødvendige tjenestene for Hybrid Data Security. | ||||||||||
| 8 |
På oversiktssiden for oppsettverktøyet klikker du på Kom i gang. | ||||||||||
| 9 |
På siden ISO-import har du disse alternativene:
| ||||||||||
| 10 |
Sjekk at X.509-sertifikatet ditt oppfyller kravene i Krav til X.509-sertifikat.
| ||||||||||
| 11 |
Skriv inn databaseadressen og kontoen som HDS bruker for å få tilgang til nøkkeldatalageret ditt: | ||||||||||
| 12 |
Velg en TLS-databasetilkoblingsmodus:
Når du laster opp rotsertifikatet (hvis nødvendig) og klikker på Fortsett, tester HDS-oppsettverktøyet TLS-tilkoblingen til databaseserveren. Verktøyet verifiserer også sertifikatsigneren og vertsnavnet, hvis aktuelt. Hvis en test mislykkes, viser verktøyet en feilmelding som beskriver problemet. Du kan velge om du vil ignorere feilen og fortsette med oppsettet. (På grunn av tilkoblingsforskjeller kan HDS-nodene kanskje opprette TLS-tilkoblingen selv om HDS Setup Tool-maskinen ikke kan teste den.) | ||||||||||
| 13 |
På siden Systemlogger konfigurerer du Syslogd-serveren din: | ||||||||||
| 14 |
(Valgfritt) Du kan endre standardverdien for noen databasetilkoblingsparametere i Avanserte innstillinger. Vanligvis er denne parameteren den eneste du kanskje vil endre: | ||||||||||
| 15 |
Klikk på Fortsett på skjermbildet Tilbakestill passord for tjenestekontoer. Passord for tjenestekontoer har en levetid på ni måneder. Bruk denne skjermen når passordene dine nærmer seg utløpsdatoen, eller du vil tilbakestille dem for å ugyldiggjøre tidligere ISO-filer. | ||||||||||
| 16 |
Klikk på Last ned ISO-fil. Lagre filen på et sted som er lett å finne. | ||||||||||
| 17 |
Lag en sikkerhetskopi av ISO-filen på ditt lokale system. Oppbevar sikkerhetskopien sikkert. Denne filen inneholder en hovedkrypteringsnøkkel for databaseinnholdet. Begrens tilgangen til kun de administratorene for hybrid datasikkerhet som skal gjøre konfigurasjonsendringer. | ||||||||||
| 18 |
For å avslutte installasjonsverktøyet, skriv |
Hva du skal gjøre nå
Sikkerhetskopier konfigurasjons-ISO-filen. Du trenger det for å opprette flere noder for gjenoppretting, eller for å gjøre konfigurasjonsendringer. Hvis du mister alle kopiene av ISO-filen, har du også mistet hovednøkkelen. Det er ikke mulig å gjenopprette nøklene fra PostgreSQL- eller Microsoft SQL Server-databasen.
Vi har aldri en kopi av denne nøkkelen, og kan ikke hjelpe deg hvis du mister den.
Installer HDS Host OVA
| 1 |
Bruk VMware vSphere-klienten på datamaskinen din for å logge på den virtuelle ESXi-verten. |
| 2 |
Velg Fil > Distribuer OVF-mal. |
| 3 |
I veiviseren angir du plasseringen til OVA-filen du lastet ned tidligere, og klikker deretter på Neste. |
| 4 |
På siden Velg et navn og en mappe skriver du inn et navn på en virtuell maskin for noden (for eksempel "HDS_Node_1"), velger en plassering der distribusjonen av den virtuelle maskinnoden kan befinne seg, og klikker deretter på Neste. |
| 5 |
På siden Velg en beregningsressurs velger du målberegningsressursen og klikker deretter på Neste. En valideringskontroll kjøres. Når det er ferdig, vises maldetaljene. |
| 6 |
Bekreft maldetaljene og klikk deretter på Neste. |
| 7 |
Hvis du blir bedt om å velge ressurskonfigurasjon på siden Konfigurasjon, klikker du på 4 CPU og deretter på Neste. |
| 8 |
På siden Velg lagring klikker du på Neste for å godta standard diskformat og lagringspolicy for virtuell maskin. |
| 9 |
På siden Velg nettverk velger du nettverksalternativet fra listen over oppføringer for å gi ønsket tilkobling til den virtuelle maskinen. |
| 10 |
På siden Tilpass mal konfigurerer du følgende nettverksinnstillinger:
Hvis du foretrekker det, kan du hoppe over konfigurasjonen av nettverksinnstillingene og følge trinnene i Konfigurer den virtuelle hybriddatasikkerhetsmaskinen for å konfigurere innstillingene fra nodekonsollen. Alternativet for å konfigurere nettverksinnstillinger under OVA-distribusjon har blitt testet med ESXi 7.0 og 8.0. Alternativet er kanskje ikke tilgjengelig i tidligere versjoner. |
| 11 |
Høyreklikk på nodens virtuelle maskin, og velg deretter . Hybrid Data Security-programvaren installeres som gjest på VM-verten. Du er nå klar til å logge på konsollen og konfigurere noden. Feilsøkingstips Du kan oppleve en forsinkelse på noen få minutter før nodecontainerne dukker opp. En melding om en brobrannmur vises på konsollen under første oppstart, og du kan ikke logge på i løpet av denne tiden. |
Konfigurer den hybride virtuelle datamaskinen for datasikkerhet
Bruk denne prosedyren for å logge på Hybrid Data Security-nodens virtuelle konsoll for første gang og angi påloggingslegitimasjonen. Du kan også bruke konsollen til å konfigurere nettverksinnstillingene for noden hvis du ikke konfigurerte dem da OVA-distribusjonen ble utført.
| 1 |
I VMware vSphere-klienten velger du den virtuelle maskinen for hybrid datasikkerhetsnoden og velger fanen Konsoll. VM-en starter opp, og en påloggingsledetekst vises. Hvis påloggingsledeteksten ikke vises, trykk Enter.
|
| 2 |
Bruk følgende standardbrukernavn og passord for å logge på og endre påloggingsinformasjonen: Siden du logger på den virtuelle maskinen for første gang, må du endre administratorpassordet. |
| 3 |
Hvis du allerede har konfigurert nettverksinnstillingene i Installer HDS Host OVA, hopper du over resten av denne prosedyren. Ellers velger du alternativet Rediger konfigurasjon i hovedmenyen. |
| 4 |
Sett opp en statisk konfigurasjon med IP-adresse, maske, gateway og DNS-informasjon. Noden din skal ha en intern IP-adresse og et DNS-navn. DHCP støttes ikke. |
| 5 |
(Valgfritt) Endre vertsnavn, domene eller NTP-server(e) om nødvendig for å samsvare med nettverkspolicyen din. Du trenger ikke å angi domenet slik at det samsvarer med domenet du brukte for å hente X.509-sertifikatet. |
| 6 |
Lagre nettverkskonfigurasjonen og start den virtuelle maskinen på nytt slik at endringene trer i kraft. |
Last opp og monter HDS-konfigurasjons-ISO-en
Før du begynner
Fordi ISO-filen inneholder hovednøkkelen, bør den bare eksponeres ved behov, for tilgang av de virtuelle hybriddatasikkerhetsmaskinene og eventuelle administratorer som måtte trenge å gjøre endringer. Sørg for at bare disse administratorene har tilgang til datalageret.
| 1 |
Last opp ISO-filen fra datamaskinen din: |
| 2 |
Monter ISO-filen: |
Hva du skal gjøre nå
Hvis IT-policyen din krever det, kan du eventuelt avmontere ISO-filen etter at alle nodene dine har plukket opp konfigurasjonsendringene. Se (Valgfritt) Avmonter ISO etter HDS-konfigurasjon for detaljer.
Konfigurer HDS-noden for proxy-integrasjon
Hvis nettverksmiljøet krever en proxy, bruk denne prosedyren for å angi typen proxy du vil integrere med Hybrid Data Security. Hvis du velger en transparent inspeksjonsproxy eller en eksplisitt HTTPS-proxy, kan du bruke nodens grensesnitt til å laste opp og installere rotsertifikatet. Du kan også sjekke proxy-tilkoblingen fra grensesnittet og feilsøke eventuelle problemer.
Før du begynner
-
Se Proxy-støtte for en oversikt over de støttede proxy-alternativene.
| 1 |
Skriv inn URL-adressen for oppsett av HDS-noden |
| 2 |
Gå til Trust Store & Proxy, og velg deretter et alternativ:
Følg de neste trinnene for en transparent inspeksjonsproxy, en eksplisitt HTTP-proxy med grunnleggende autentisering eller en eksplisitt HTTPS-proxy. |
| 3 |
Klikk på Last opp et rotsertifikat eller et sluttenhetssertifikat, og naviger deretter til og velg rotsertifikatet for proxyen. Sertifikatet er lastet opp, men ikke installert ennå, fordi du må starte noden på nytt for å installere sertifikatet. Klikk på vinkelpilen ved siden av sertifikatutstederens navn for å få mer informasjon, eller klikk på Slett hvis du har gjort en feil og vil laste opp filen på nytt. |
| 4 |
Klikk på Sjekk proxy-tilkobling for å teste nettverkstilkoblingen mellom noden og proxyen. Hvis tilkoblingstesten mislykkes, vil du se en feilmelding som viser årsaken og hvordan du kan løse problemet. Hvis du ser en melding som sier at ekstern DNS-løsning ikke var vellykket, klarte ikke noden å nå DNS-serveren. Denne betingelsen er forventet i mange eksplisitte proxy-konfigurasjoner. Du kan fortsette med oppsettet, og noden vil fungere i modus for blokkert ekstern DNS-løsning. Hvis du tror dette er en feil, fullfør disse trinnene, og se deretter Slå av blokkert ekstern DNS-oppløsningsmodus. |
| 5 |
Etter at tilkoblingstesten er bestått, for eksplisitt proxy satt til kun https, slå veksleknappen på Rut alle porter 443/444 https-forespørsler fra denne noden gjennom den eksplisitte proxyen. Denne innstillingen krever 15 sekunder for å tre i kraft. |
| 6 |
Klikk på Installer alle sertifikater i klareringslageret (vises for en eksplisitt HTTPS-proxy eller en transparent inspiserende proxy) eller Start på nytt (vises for en eksplisitt HTTP-proxy), les ledeteksten, og klikk deretter på Installer hvis du er klar. Noden starter på nytt innen få minutter. |
| 7 |
Etter at noden har startet på nytt, logg inn igjen om nødvendig, og åpne deretter siden Oversikt for å sjekke tilkoblingskontrollene og sørge for at de alle har grønn status. Proxy-tilkoblingskontrollen tester bare et underdomene av webex.com. Hvis det er tilkoblingsproblemer, er et vanlig problem at noen av skydomenene som er oppført i installasjonsinstruksjonene, blokkeres av proxy-tjeneren. |
Registrer den første noden i klyngen
Når du registrerer din første node, oppretter du en klynge som noden er tilordnet. En klynge inneholder én eller flere noder som er distribuert for å gi redundans.
Før du begynner
-
Når du har startet registreringen av en node, må du fullføre den innen 60 minutter, ellers må du starte på nytt.
-
Sørg for at eventuelle popup-blokkeringer i nettleseren din er deaktivert, eller at du tillater et unntak for admin.webex.com.
| 1 |
Logg inn på https://admin.webex.com. |
| 2 |
Fra menyen på venstre side av skjermen velger du Tjenester. |
| 3 |
I delen Skytjenester finner du kortet Hybrid datasikkerhet og klikker på Konfigurer. |
| 4 |
På siden som åpnes, klikk på Legg til en ressurs. |
| 5 |
I det første feltet på kortet Legg til en node skriver du inn et navn på klyngen du vil tilordne Hybrid Data Security-noden til. Vi anbefaler at du navngir en klynge basert på hvor nodene i klyngen befinner seg geografisk. Eksempler: «San Francisco» eller «New York» eller «Dallas» |
| 6 |
I det andre feltet skriver du inn den interne IP-adressen eller det fullstendig kvalifiserte domenenavnet (FQDN) til noden din og klikker på Legg til nederst på skjermen. Denne IP-adressen eller FQDN-en skal samsvare med IP-adressen eller vertsnavnet og domenet du brukte i Konfigurer den hybride virtuelle datamaskinen for datasikkerhet. Det vises en melding som angir at du kan registrere noden din i Webex.
|
| 7 |
Klikk på Gå til node. Etter noen få øyeblikk blir du omdirigert til nodetilkoblingstestene for Webex-tjenester. Hvis alle testene er vellykkede, vises siden Tillat tilgang til hybrid datasikkerhetsnode. Der bekrefter du at du vil gi Webex-organisasjonen din tillatelse til å få tilgang til noden din. |
| 8 |
Merk av i boksen Tillat tilgang til hybrid datasikkerhetsnode, og klikk deretter på Fortsett. Kontoen din er validert, og meldingen «Registrering fullført» indikerer at noden din nå er registrert i Webex-skyen.
|
| 9 |
Klikk på lenken eller lukk fanen for å gå tilbake til Partner Hub Hybrid Data Security-siden. På siden Hybrid datasikkerhet vises den nye klyngen som inneholder noden du registrerte, under fanen Ressurser. Noden vil automatisk laste ned den nyeste programvaren fra skyen.
|
Opprett og registrer flere noder
Før du begynner
-
Når du har startet registreringen av en node, må du fullføre den innen 60 minutter, ellers må du starte på nytt.
-
Sørg for at eventuelle popup-blokkeringer i nettleseren din er deaktivert, eller at du tillater et unntak for admin.webex.com.
| 1 |
Opprett en ny virtuell maskin fra OVA-en, og gjenta trinnene i Installer HDS Host OVA. |
| 2 |
Konfigurer den første konfigurasjonen på den nye virtuelle maskinen, og gjenta trinnene i Konfigurer den hybride virtuelle maskinen for datasikkerhet. |
| 3 |
Gjenta trinnene i Last opp og monter HDS-konfigurasjons-ISOpå den nye virtuelle maskinen. |
| 4 |
Hvis du konfigurerer en proxy for distribusjonen din, gjenta trinnene i Konfigurer HDS-noden for proxy-integrasjon etter behov for den nye noden. |
| 5 |
Registrer noden. |
Administrer leietakerorganisasjoner på hybrid datasikkerhet for flere leietakere
Aktiver flerleietaker-HDS på partnerhub
Denne oppgaven sikrer at alle brukere i kundeorganisasjonene kan begynne å utnytte HDS for lokale krypteringsnøkler og andre sikkerhetstjenester.
Før du begynner
Sørg for at du har fullført oppsettet av HDS-klyngen med flere leietakere med det nødvendige antallet noder.
| 1 |
Logg inn på https://admin.webex.com. |
| 2 |
Fra menyen på venstre side av skjermen velger du Tjenester. |
| 3 |
I delen Skytjenester finner du Hybrid datasikkerhet og klikker på Rediger innstillinger. |
| 4 |
Klikk på Aktiver HDS på kortet HDS-status. |
Legg til leietakerorganisasjoner i Partner Hub
I denne oppgaven tilordner du kundeorganisasjoner til din hybride datasikkerhetsklynge.
| 1 |
Logg inn på https://admin.webex.com. |
| 2 |
Fra menyen på venstre side av skjermen velger du Tjenester. |
| 3 |
I delen Skytjenester finner du Hybrid datasikkerhet og klikker på Vis alle. |
| 4 |
Klikk på klyngen du vil tilordne en kunde. |
| 5 |
Gå til fanen Tildelte kunder. |
| 6 |
Klikk på Legg til kunder. |
| 7 |
Velg kunden du vil legge til fra rullegardinmenyen. |
| 8 |
Klikk på Legg til, kunden vil bli lagt til i klyngen. |
| 9 |
Gjenta trinn 6 til 8 for å legge til flere kunder i klyngen din. |
| 10 |
Klikk på Ferdig nederst på skjermen når du har lagt til kundene. |
Hva du skal gjøre nå
Opprett kundens hovednøkler (CMK-er) ved hjelp av HDS-oppsettverktøyet
Før du begynner
Tilordne kunder til riktig klynge som beskrevet i Legge til leietakerorganisasjoner i partnerhub. Kjør HDS-oppsettverktøyet for å fullføre oppsettprosessen for de nylig tillagte kundeorganisasjonene.
-
HDS-oppsettverktøyet kjører som en Docker-container på en lokal maskin. For å få tilgang til den, kjør Docker på den maskinen. Konfigurasjonsprosessen krever legitimasjonen til en Partner Hub-konto med fulle administratorrettigheter for organisasjonen din.
Hvis HDS-oppsettverktøyet kjører bak en proxy i miljøet ditt, må du oppgi proxy-innstillingene (server, port, legitimasjon) via Docker-miljøvariabler når du åpner Docker-containeren i trinn 5. Denne tabellen viser noen mulige miljøvariabler:
Beskrivelse
Variabel
HTTP-proxy uten autentisering
GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORTHTTPS-proxy uten autentisering
GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORTHTTP-proxy med autentisering
GLOBAL_AGENT_HTTP_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORTHTTPS-proxy med autentisering
GLOBAL_AGENT_HTTPS_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT -
Konfigurasjons-ISO-filen du genererer inneholder hovednøkkelen som krypterer PostgreSQL- eller Microsoft SQL Server-databasen. Du trenger den nyeste kopien av denne filen hver gang du gjør konfigurasjonsendringer, som disse:
-
Databaselegitimasjon
-
Sertifikatoppdateringer
-
Endringer i autorisasjonspolicyen
-
-
Hvis du planlegger å kryptere databasetilkoblinger, må du konfigurere PostgreSQL- eller SQL Server-distribusjonen din for TLS.
Konfigurasjonsprosessen for hybrid datasikkerhet oppretter en ISO-fil. Deretter bruker du ISO-filen til å konfigurere Hybrid Data Security-verten din.
| 1 |
Skriv inn riktig kommando for miljøet ditt på maskinens kommandolinje: I vanlige miljøer: I FedRAMP-miljøer: Dette trinnet rydder opp i tidligere bilder av HDS-oppsettverktøyet. Hvis det ikke finnes noen tidligere bilder, returnerer den en feil som du kan ignorere. |
| 2 |
For å logge på Docker-avbildningsregisteret, skriv inn følgende: |
| 3 |
Ved passordledeteksten skriver du inn denne hashen: |
| 4 |
Last ned det nyeste stabile bildet for miljøet ditt: I vanlige miljøer: I FedRAMP-miljøer: |
| 5 |
Når hentingen er fullført, skriver du inn riktig kommando for miljøet ditt:
Når containeren kjører, ser du «Express-server lytter på port 8080». |
| 6 |
Installasjonsverktøyet støtter ikke tilkobling til localhost via http://localhost:8080. Bruk http://127.0.0.1:8080 for å koble til localhost. Bruk en nettleser til å gå til localhost, Verktøyet bruker denne første oppføringen av brukernavnet til å angi riktig miljø for den kontoen. Verktøyet viser deretter standard påloggingsledetekst. |
| 7 |
Når du blir bedt om det, skriver du inn påloggingsinformasjonen for Partner Hub-administratoren, og klikker deretter på Logg inn for å gi tilgang til de nødvendige tjenestene for Hybrid Data Security. |
| 8 |
På oversiktssiden for oppsettverktøyet klikker du på Kom i gang. |
| 9 |
På siden ISO-import klikker du på Ja. |
| 10 |
Velg ISO-filen din i nettleseren og last den opp. Sørg for tilkobling til databasen din for å utføre CMK-administrasjon. |
| 11 |
Gå til fanen Leietaker-CMK-administrasjon, der du finner følgende tre måter å administrere Leietaker-CMK-er på.
|
| 12 |
Når CMK-opprettelsen er vellykket, endres statusen i tabellen fra CMK-administrasjon venter til CMK-administrert. |
| 13 |
Hvis opprettelsen av CMK mislykkes, vises en feilmelding. |
Fjern leietakerorganisasjoner
Før du begynner
Når den er fjernet, vil ikke brukere av kundeorganisasjoner kunne bruke HDS til sine krypteringsbehov, og de vil miste alle eksisterende plasser. Før du fjerner kundeorganisasjoner, må du kontakte Cisco-partneren eller kontoansvarlig.
| 1 |
Logg inn på https://admin.webex.com. |
| 2 |
Fra menyen på venstre side av skjermen velger du Tjenester. |
| 3 |
I delen Skytjenester finner du Hybrid datasikkerhet og klikker på Vis alle. |
| 4 |
I fanen Ressurser klikker du på klyngen du vil fjerne kundeorganisasjoner fra. |
| 5 |
På siden som åpnes, klikk på Tilordnede kunder. |
| 6 |
Fra listen over kundeorganisasjoner som vises, klikk på ... på høyre side av kundeorganisasjonen du vil fjerne, og klikk på Fjern fra klynge. |
Hva du skal gjøre nå
Fullfør fjerningsprosessen ved å tilbakekalle CMK-ene til kundeorganisasjonene som beskrevet i Tilbakekalle CMK-er for leietakere fjernet fra HDS.
Tilbakekall CMK-er for leietakere som er fjernet fra HDS.
Før du begynner
Fjern kunder fra den aktuelle klyngen som beskrevet i Fjern leietakerorganisasjoner. Kjør HDS-oppsettverktøyet for å fullføre fjerningsprosessen for kundeorganisasjonene som ble fjernet.
-
HDS-oppsettverktøyet kjører som en Docker-container på en lokal maskin. For å få tilgang til den, kjør Docker på den maskinen. Konfigurasjonsprosessen krever legitimasjonen til en Partner Hub-konto med fulle administratorrettigheter for organisasjonen din.
Hvis HDS-oppsettverktøyet kjører bak en proxy i miljøet ditt, må du oppgi proxy-innstillingene (server, port, legitimasjon) via Docker-miljøvariabler når du åpner Docker-containeren i trinn 5. Denne tabellen viser noen mulige miljøvariabler:
Beskrivelse
Variabel
HTTP-proxy uten autentisering
GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORTHTTPS-proxy uten autentisering
GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORTHTTP-proxy med autentisering
GLOBAL_AGENT_HTTP_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORTHTTPS-proxy med autentisering
GLOBAL_AGENT_HTTPS_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT -
Konfigurasjons-ISO-filen du genererer inneholder hovednøkkelen som krypterer PostgreSQL- eller Microsoft SQL Server-databasen. Du trenger den nyeste kopien av denne filen hver gang du gjør konfigurasjonsendringer, som disse:
-
Databaselegitimasjon
-
Sertifikatoppdateringer
-
Endringer i autorisasjonspolicyen
-
-
Hvis du planlegger å kryptere databasetilkoblinger, må du konfigurere PostgreSQL- eller SQL Server-distribusjonen din for TLS.
Konfigurasjonsprosessen for hybrid datasikkerhet oppretter en ISO-fil. Deretter bruker du ISO-filen til å konfigurere Hybrid Data Security-verten din.
| 1 |
Skriv inn riktig kommando for miljøet ditt på maskinens kommandolinje: I vanlige miljøer: I FedRAMP-miljøer: Dette trinnet rydder opp i tidligere bilder av HDS-oppsettverktøyet. Hvis det ikke finnes noen tidligere bilder, returnerer den en feil som du kan ignorere. |
| 2 |
For å logge på Docker-avbildningsregisteret, skriv inn følgende: |
| 3 |
Ved passordledeteksten skriver du inn denne hashen: |
| 4 |
Last ned det nyeste stabile bildet for miljøet ditt: I vanlige miljøer: I FedRAMP-miljøer: |
| 5 |
Når hentingen er fullført, skriver du inn riktig kommando for miljøet ditt:
Når containeren kjører, ser du «Express-server lytter på port 8080». |
| 6 |
Installasjonsverktøyet støtter ikke tilkobling til localhost via http://localhost:8080. Bruk http://127.0.0.1:8080 for å koble til localhost. Bruk en nettleser til å gå til localhost, Verktøyet bruker denne første oppføringen av brukernavnet til å angi riktig miljø for den kontoen. Verktøyet viser deretter standard påloggingsledetekst. |
| 7 |
Når du blir bedt om det, skriver du inn påloggingsinformasjonen for Partner Hub-administratoren, og klikker deretter på Logg inn for å gi tilgang til de nødvendige tjenestene for Hybrid Data Security. |
| 8 |
På oversiktssiden for oppsettverktøyet klikker du på Kom i gang. |
| 9 |
På siden ISO-import klikker du på Ja. |
| 10 |
Velg ISO-filen din i nettleseren og last den opp. |
| 11 |
Gå til fanen Leietaker-CMK-administrasjon, der du finner følgende tre måter å administrere Leietaker-CMK-er på.
|
| 12 |
Når CMK-tilbakekallingen er vellykket, vil ikke kundeorganisasjonen lenger vises i tabellen. |
| 13 |
Hvis CMK-tilbakekalling mislykkes, vises en feilmelding. |
Test hybrid datasikkerhetsdistribusjonen din
Test din hybride datasikkerhetsimplementering
Før du begynner
-
Konfigurer din hybride datasikkerhetsdistribusjon for flere leietakere.
-
Sørg for at du har tilgang til sysloggen for å bekrefte at nøkkelforespørsler sendes til Multi-Tenant Hybrid Data Security-distribusjonen din.
| 1 |
Nøkler for et gitt område angis av den som har opprettet området. Logg på Webex-appen som en av brukerne i kundeorganisasjonen, og opprett deretter et område. Hvis du deaktiverer distribusjonen av Hybrid Data Security, vil innhold i områder som brukere oppretter ikke lenger være tilgjengelig når de klientbufrede kopiene av krypteringsnøklene er erstattet. |
| 2 |
Send meldinger til det nye rommet. |
| 3 |
Sjekk syslog-utdataene for å bekrefte at nøkkelforespørslene sendes til Hybrid Data Security-distribusjonen din. Hvis en bruker av en nylig tillagt kundeorganisasjon utfører en handling, vil organisasjonens organisasjons-ID vises i loggene, og dette kan brukes til å bekrefte at organisasjonen bruker Multi-Tenant HDS. Sjekk verdien av |
Overvåk hybrid datasikkerhetshelse
| 1 |
I Partnerhubvelger du Tjenester fra menyen på venstre side av skjermen. |
| 2 |
I delen Skytjenester finner du Hybrid datasikkerhet og klikker på Rediger innstillinger. Siden Innstillinger for hybrid datasikkerhet vises.
|
| 3 |
I delen E-postvarsler skriver du inn én eller flere e-postadresser atskilt med komma, og trykker på Enter. |
Administrer HDS-distribusjonen din
Administrer HDS-distribusjon
Bruk oppgavene som er beskrevet her til å administrere hybrid datasikkerhetsdistribusjonen din.
Angi en tidsplan for klyngeoppgradering
Slik angir du oppgraderingsplanen:
| 1 |
Logg inn på Partner Hub. |
| 2 |
Fra menyen på venstre side av skjermen velger du Tjenester. |
| 3 |
I delen Skytjenester finner du Hybrid datasikkerhet og klikker på Konfigurer |
| 4 |
På siden Hybride datasikkerhetsressurser velger du klyngen. |
| 5 |
Klikk på fanen Klyngeinnstillinger. |
| 6 |
På siden Klyngeinnstillinger, under Oppgraderingsplan, velger du klokkeslett og tidssone for oppgraderingsplanen. Merknad: Under tidssonen vises neste tilgjengelige oppgraderingsdato og -klokkeslett. Du kan utsette oppgraderingen til neste dag om nødvendig ved å klikke på Utsett med 24 timer. |
Endre nodekonfigurasjonen
-
Endring av x.509-sertifikater på grunn av utløp eller andre årsaker.
Vi støtter ikke endring av CN-domenenavnet til et sertifikat. Domenet må samsvare med det opprinnelige domenet som ble brukt til å registrere klyngen.
-
Oppdaterer databaseinnstillinger for å endre til en kopi av PostgreSQL- eller Microsoft SQL Server-databasen.
Vi støtter ikke migrering av data fra PostgreSQL til Microsoft SQL Server, eller motsatt vei. For å bytte databasemiljø, start en ny distribusjon av Hybrid Data Security.
-
Oppretter en ny konfigurasjon for å klargjøre et nytt datasenter.
Av sikkerhetshensyn bruker Hybrid Data Security også passord for tjenestekontoer som har en levetid på ni måneder. Etter at HDS-oppsettverktøyet genererer disse passordene, distribuerer du dem til hver av HDS-nodene dine i ISO-konfigurasjonsfilen. Når organisasjonens passord nærmer seg utløpsdatoen, mottar du et varsel fra Webex-teamet om å tilbakestille passordet for maskinkontoen din. (E-posten inneholder teksten «Bruk maskinkonto-API-et til å oppdatere passordet.») Hvis passordene dine ikke er utløpt ennå, gir verktøyet deg to alternativer:
-
Myk tilbakestilling– Både det gamle og det nye passordet fungerer i opptil 10 dager. Bruk denne perioden til å gradvis erstatte ISO-filen på nodene.
-
Hard tilbakestilling– De gamle passordene slutter å virke umiddelbart.
Hvis passordene dine utløper uten tilbakestilling, påvirker det HDS-tjenesten din, og krever en umiddelbar hard tilbakestilling og erstatning av ISO-filen på alle noder.
Bruk denne prosedyren til å generere en ny ISO-konfigurasjonsfil og bruke den på klyngen din.
Før du begynner
-
HDS-oppsettverktøyet kjører som en Docker-container på en lokal maskin. For å få tilgang til den, kjør Docker på den maskinen. Oppsettprosessen krever påloggingsinformasjonen til en Partner Hub-konto med fulle administratorrettigheter for partneren.
Hvis du ikke har en Docker Desktop-lisens, kan du bruke Podman Desktop til å kjøre HDS-oppsettverktøyet for trinn 1.a til 1.e i prosedyren nedenfor. Se Kjør HDS-oppsettverktøyet med Podman Desktop for detaljer.
Hvis HDS-oppsettverktøyet kjører bak en proxy i miljøet ditt, må du oppgi proxy-innstillingene (server, port, legitimasjon) via Docker-miljøvariabler når du åpner Docker-containeren i 1.e. Denne tabellen viser noen mulige miljøvariabler:
Beskrivelse
Variabel
HTTP-proxy uten autentisering
GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORTHTTPS-proxy uten autentisering
GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORTHTTP-proxy med autentisering
GLOBAL_AGENT_HTTP_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORTHTTPS-proxy med autentisering
GLOBAL_AGENT_HTTPS_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT -
Du trenger en kopi av den gjeldende ISO-filen for konfigurasjonen for å generere en ny konfigurasjon. ISO-filen inneholder hovednøkkelen som krypterer PostgreSQL- eller Microsoft SQL Server-databasen. Du trenger ISO-filen når du gjør konfigurasjonsendringer, inkludert databaselegitimasjon, sertifikatoppdateringer eller endringer i autorisasjonspolicyen.
| 1 |
Kjør HDS-oppsettverktøyet ved hjelp av Docker på en lokal maskin. |
| 2 |
Hvis du bare har én HDS-node som kjører, oppretter du en ny virtuell maskin for hybrid datasikkerhetsnoden og registrerer den ved hjelp av den nye ISO-konfigurasjonsfilen. For mer detaljerte instruksjoner, se Opprett og registrer flere noder. |
| 3 |
For eksisterende HDS-noder som kjører den eldre konfigurasjonsfilen, monter ISO-filen. Utfør følgende prosedyre på hver node etter tur, og oppdater hver node før du slår av neste node: |
| 4 |
Gjenta trinn 3 for å erstatte konfigurasjonen på hver gjenværende node som kjører den gamle konfigurasjonen. |
Slå av blokkert ekstern DNS-oppløsningsmodus
Når du registrerer en node eller sjekker nodens proxy-konfigurasjon, tester prosessen DNS-oppslag og tilkobling til Cisco Webex-skyen. Hvis nodens DNS-server ikke kan løse offentlige DNS-navn, går noden automatisk inn i modus for blokkert ekstern DNS-løsning.
Hvis nodene dine kan løse offentlige DNS-navn gjennom interne DNS-servere, kan du slå av denne modusen ved å kjøre proxy-tilkoblingstesten på nytt på hver node.
Før du begynner
| 1 |
I en nettleser åpner du Hybrid Data Security-nodegrensesnittet (IP address/setup, For eksempel, https://192.0.2.0/setup), skriv inn administratorlegitimasjonen du har satt opp for noden, og klikk deretter på Logg på. |
| 2 |
Gå til Oversikt (standardsiden). Når den er aktivert, er Blokkert ekstern DNS-oppløsning satt til Ja. |
| 3 |
Gå til Trust Store & Proxy -side. |
| 4 |
Klikk på Sjekk proxy-tilkobling. Hvis du ser en melding som sier at ekstern DNS-løsning ikke var vellykket, klarte ikke noden å nå DNS-serveren og vil forbli i denne modusen. Ellers, etter at du har startet noden på nytt og går tilbake til siden Oversikt, bør Blokkert ekstern DNS-oppløsning settes til nei. |
Hva du skal gjøre nå
Fjern en node
| 1 |
Bruk VMware vSphere-klienten på datamaskinen din til å logge på den virtuelle ESXi-verten og slå av den virtuelle maskinen. |
| 2 |
Fjern noden: |
| 3 |
Slett den virtuelle maskinen i vSphere-klienten. (I venstre navigasjonsrute høyreklikker du på den virtuelle maskinen og klikker på Slett.) Hvis du ikke sletter den virtuelle maskinen, husk å avmontere konfigurasjons-ISO-filen. Uten ISO-filen kan du ikke bruke den virtuelle maskinen til å få tilgang til sikkerhetsdataene dine. |
Katastrofegjenoppretting ved bruk av standby-datasenter
Den viktigste tjenesten som hybrid datasikkerhetsklyngen din tilbyr, er oppretting og lagring av nøkler som brukes til å kryptere meldinger og annet innhold som er lagret i Webex-skyen. For hver bruker i organisasjonen som er tilordnet Hybrid Data Security, rutes nye forespørsler om nøkkeloppretting til klyngen. Klyngen er også ansvarlig for å returnere nøklene den har opprettet til alle brukere som er autorisert til å hente dem, for eksempel medlemmer av et samtaleområde.
Fordi klyngen utfører den kritiske funksjonen med å levere disse nøklene, er det avgjørende at klyngen forblir i gang og at det vedlikeholdes riktige sikkerhetskopier. Tap av Hybrid Data Security-databasen eller av konfigurasjons-ISO-en som brukes for skjemaet vil føre til UKJENOPPRETTBART TAP av kundeinnhold. Følgende fremgangsmåter er obligatoriske for å forhindre et slikt tap:
Hvis en katastrofe fører til at HDS-distribusjonen i det primære datasenteret blir utilgjengelig, følger du denne prosedyren for å manuelt bytte til reservedatasenteret.
Før du begynner
| 1 |
Start HDS-oppsettverktøyet og følg trinnene som er nevnt i Opprett en konfigurasjons-ISO for HDS-vertene. |
| 2 |
Fullfør konfigurasjonsprosessen og lagre ISO-filen på et sted som er lett å finne. |
| 3 |
Lag en sikkerhetskopi av ISO-filen på ditt lokale system. Oppbevar sikkerhetskopien sikkert. Denne filen inneholder en hovedkrypteringsnøkkel for databaseinnholdet. Begrens tilgangen til kun de administratorene for hybrid datasikkerhet som skal gjøre konfigurasjonsendringer. |
| 4 |
I VMware vSphere-klientens venstre navigasjonsrute høyreklikker du på den virtuelle maskinen og klikker på Rediger innstillinger. |
| 5 |
Klikk på Rediger innstillinger >CD/DVD Stasjon 1 og velg ISO-fil for datalager. Sørg for at Tilkoblet og Koble til ved oppstart er avmerket, slik at oppdaterte konfigurasjonsendringer kan tre i kraft etter at nodene har startet. |
| 6 |
Slå på HDS-noden og sørg for at det ikke er noen alarmer på minst 15 minutter. |
| 7 |
Registrer noden i Partner Hub. Se Registrer den første noden i klyngen. |
| 8 |
Gjenta prosessen for hver node i standby-datasenteret. |
Hva du skal gjøre nå
(Valgfritt) Avmonter ISO etter HDS-konfigurasjon
Standard HDS-konfigurasjonen kjører med ISO montert. Men noen kunder foretrekker å ikke la ISO-filer være kontinuerlig montert. Du kan avmontere ISO-filen etter at alle HDS-nodene har hentet den nye konfigurasjonen.
Du bruker fortsatt ISO-filene til å gjøre konfigurasjonsendringer. Når du oppretter en ny ISO eller oppdaterer en ISO via installasjonsverktøyet, må du montere den oppdaterte ISO-en på alle HDS-nodene dine. Når alle nodene dine har plukket opp konfigurasjonsendringene, kan du avmontere ISO-en igjen med denne prosedyren.
Før du begynner
Oppgrader alle HDS-nodene dine til versjon 2021.01.22.4720 eller nyere.
| 1 |
Slå av en av HDS-nodene dine. |
| 2 |
I vCenter Server Appliance velger du HDS-noden. |
| 3 |
Velg og fjern merket for Datastore ISO-fil. |
| 4 |
Slå på HDS-noden og sørg for at det ikke er noen alarmer på minst 20 minutter. |
| 5 |
Gjenta for hver HDS-node etter tur. |
Feilsøking av hybrid datasikkerhet
Vis varsler og feilsøk
En hybrid datasikkerhetsdistribusjon anses som utilgjengelig hvis alle noder i klyngen ikke kan nås, eller klyngen fungerer så sakte at forespørsler blir tidsavbrutt. Hvis brukere ikke kan nå Hybrid Data Security-klyngen din, opplever de følgende symptomer:
-
Nye mellomrom kan ikke opprettes (kan ikke opprette nye nøkler)
-
Meldinger og romtitler klarer ikke å dekryptere for:
-
Nye brukere lagt til i et rom (kan ikke hente nøkler)
-
Eksisterende brukere i et område som bruker en ny klient (kan ikke hente nøkler)
-
-
Eksisterende brukere i et område vil fortsette å kjøre uten problemer så lenge klientene deres har en hurtigbuffer med krypteringsnøklene
Det er viktig at du overvåker Hybrid Data Security-klyngen din ordentlig og adresserer eventuelle varsler raskt for å unngå avbrudd i tjenesten.
Varsler
Hvis det er et problem med oppsettet av hybrid datasikkerhet, viser Partner Hub varsler til organisasjonsadministratoren og sender e-poster til den konfigurerte e-postadressen. Varslene dekker mange vanlige scenarier.
|
Varsle |
Handling |
|---|---|
|
Tilgangsfeil for lokal database. |
Sjekk for databasefeil eller problemer med det lokale nettverket. |
|
Feil på tilkobling til lokal database. |
Kontroller at databaseserveren er tilgjengelig, og at riktig tjenestekontolegitimasjon ble brukt i nodekonfigurasjonen. |
|
Feil med tilgang til skytjenesten. |
Kontroller at nodene har tilgang til Webex-serverne som angitt i Krav til ekstern tilkobling. |
|
Fornyer registrering av skytjeneste. |
Registrering til skytjenester ble droppet. Fornyelse av registreringen pågår. |
|
Registrering av skytjeneste er fjernet. |
Registrering for skytjenester er avsluttet. Tjenesten stenges ned. |
|
Tjenesten er ikke aktivert ennå. |
Aktiver HDS i Partner Hub. |
|
Det konfigurerte domenet samsvarer ikke med serversertifikatet. |
Sørg for at serversertifikatet ditt samsvarer med det konfigurerte domenet for tjenesteaktivering. Den mest sannsynlige årsaken er at sertifikatets CN nylig ble endret og nå er forskjellig fra CN-en som ble brukt under den første oppsettet. |
|
Kunne ikke autentisere mot skytjenester. |
Sjekk nøyaktighet og mulig utløpsdato for tjenestekontolegitimasjon. |
|
Kunne ikke åpne den lokale nøkkellagerfilen. |
Sjekk integriteten og passordnøyaktigheten på den lokale nøkkellagerfilen. |
|
Det lokale serversertifikatet er ugyldig. |
Sjekk utløpsdatoen for serversertifikatet og bekreft at det ble utstedt av en pålitelig sertifiseringsinstans. |
|
Kan ikke legge ut målinger. |
Sjekk lokal nettverkstilgang til eksterne skytjenester. |
|
/media/configdrive/hds katalogen finnes ikke. |
Sjekk ISO-monteringskonfigurasjonen på den virtuelle verten. Bekreft at ISO-filen finnes, at den er konfigurert til å monteres ved omstart, og at den monteres uten problemer. |
|
Oppsettet av leietakerorganisasjonen er ikke fullført for de tillagte organisasjonene. |
Fullfør oppsettet ved å opprette CMK-er for nylig tillagte leietakerorganisasjoner ved hjelp av HDS Setup Tool. |
|
Oppsettet av leietakerorganisasjonen er ikke fullført for de fjernede organisasjonene. |
Fullfør oppsettet ved å tilbakekalle CMK-er for leietakerorganisasjoner som ble fjernet ved hjelp av HDS Setup Tool. |
Feilsøking av hybrid datasikkerhet
| 1 |
Se gjennom Partner Hub for eventuelle varsler og rett eventuelle elementer du finner der. Se bildet nedenfor som referanse. |
| 2 |
Se gjennom syslog-serverutdataene for aktivitet fra Hybrid Data Security-distribusjonen. Filtrer etter ord som «Advarsel» og «Feil» for å hjelpe til med feilsøking. |
| 3 |
Kontakt Cisco-kundestøtte. |
Andre notater
Kjente problemer for hybrid datasikkerhet
-
Hvis du slår av Hybrid Data Security-klyngen din (ved å slette den i Partner Hub eller ved å slå av alle noder), mister konfigurasjons-ISO-filen din eller mister tilgang til nøkkellagerdatabasen, kan ikke Webex-appbrukere av kundeorganisasjoner lenger bruke mellomrom under personlisten sin som ble opprettet med nøkler fra KMS-en din. Vi har for øyeblikket ingen løsning eller løsning på dette problemet, og vi oppfordrer deg til ikke å stenge ned HDS-tjenestene dine når de håndterer aktive brukerkontoer.
-
En klient som har en eksisterende ECDH-tilkobling til et KMS, opprettholder denne tilkoblingen i en periode (sannsynligvis én time).
Kjør HDS Setup-verktøyet med Podman Desktop
Podman er et gratis og åpen kildekode-verktøy for containeradministrasjon som gir en måte å kjøre, administrere og opprette containere på. Podman Desktop kan lastes ned fra https://podman-desktop.io/downloads.
-
HDS-oppsettverktøyet kjører som en Docker-container på en lokal maskin. For å få tilgang til den, last ned og kjør Podman på den maskinen. Konfigurasjonsprosessen krever legitimasjonen til en Control Hub-konto med fulle administratorrettigheter for organisasjonen din.
Hvis HDS-oppsettverktøyet kjører bak en proxy i miljøet ditt, må du oppgi proxy-innstillingene (server, port, legitimasjon) via Docker-miljøvariabler når du åpner Docker-containeren i trinn 5. Denne tabellen viser noen mulige miljøvariabler:
Beskrivelse
Variabel
HTTP-proxy uten autentisering
GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORTHTTPS-proxy uten autentisering
GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORTHTTP-proxy med autentisering
GLOBAL_AGENT_HTTP_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORTHTTPS-proxy med autentisering
GLOBAL_AGENT_HTTPS_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT -
Konfigurasjons-ISO-filen du genererer inneholder hovednøkkelen som krypterer PostgreSQL- eller Microsoft SQL Server-databasen. Du trenger den nyeste kopien av denne filen hver gang du gjør konfigurasjonsendringer, som disse:
-
Databaselegitimasjon
-
Sertifikatoppdateringer
-
Endringer i autorisasjonspolicyen
-
-
Hvis du planlegger å kryptere databasetilkoblinger, må du konfigurere PostgreSQL- eller SQL Server-distribusjonen din for TLS.
Konfigurasjonsprosessen for hybrid datasikkerhet oppretter en ISO-fil. Deretter bruker du ISO-filen til å konfigurere Hybrid Data Security-verten din.
| 1 |
Skriv inn riktig kommando for miljøet ditt på maskinens kommandolinje: I vanlige miljøer: I FedRAMP-miljøer: Dette trinnet rydder opp i tidligere bilder av HDS-oppsettverktøyet. Hvis det ikke finnes noen tidligere bilder, returnerer den en feil som du kan ignorere. |
| 2 |
For å logge på Docker-avbildningsregisteret, skriv inn følgende: |
| 3 |
Ved passordledeteksten skriver du inn denne hashen: |
| 4 |
Last ned det nyeste stabile bildet for miljøet ditt: I vanlige miljøer: I FedRAMP-miljøer: |
| 5 |
Når hentingen er fullført, skriver du inn riktig kommando for miljøet ditt:
Når containeren kjører, ser du «Express-server lytter på port 8080». |
Hva du skal gjøre nå
Flytt den eksisterende HDS-distribusjonen med én leietaker fra en partnerorganisasjon i Control Hub til et HDS-oppsett med flere leietakere i Partner Hub
Konverteringen fra en eksisterende HDS-distribusjon med én leier i en partnerorganisasjon administrert i Control Hub til en HDS-distribusjon med flere leiere administrert i Partner Hub innebærer hovedsakelig å deaktivere HDS-tjenesten i Control Hub, avregistrere noder og slette klyngen. Du kan deretter logge inn på Partner Hub, registrere nodene, aktivere Multi-Tenant HDS og legge til kunder i klyngen din.
Begrepet «enkeltleietaker» refererer ganske enkelt til en eksisterende HDS-distribusjon i Control Hub.
Deaktiver HDS, avregistrer noder og slett klynge i Control Hub
| 1 |
Logg inn på Kontrollsenteret. Klikk på Hybridi venstre rute. Klikk på Rediger innstillingerpå Hybrid Data Security-kortet. |
| 2 |
På innstillingssiden blar du ned til Deaktiver-delen og klikker på Deaktiver. |
| 3 |
Etter deaktivering, klikk på fanen Ressurser. |
| 4 |
Siden Ressurser viser en liste over klynger i HDS-distribusjonen din. Klikk på en klynge, så åpnes en side med alle noder under den klyngen. |
| 5 |
Klikk på ... til høyre og klikk på Avregistrer node. Gjenta prosessen for alle noder i klyngen. |
| 6 |
Hvis distribusjonen din har flere klynger, gjenta trinn 4 og trinn 5 til alle noder er avregistrert. |
| 7 |
Klikk på Klyngeinnstillinger > Fjern. |
| 8 |
Klikk på Bekreft fjerning for å avregistrere klyngen. |
| 9 |
Gjenta prosessen for alle klynger i HDS-distribusjonen din. Etter deaktivering av HDS, avregistrering av noder og fjerning av klynger, vil Hybrid Data Service-kortet på Control Hub ha Oppsettet ikke fullført vist nederst. |
Aktiver Multi-Tenant HDS for partnerorganisasjonen på Partner Hub og legg til kunder
Før du begynner
Alle forutsetningene nevnt i Krav til hybrid datasikkerhet for flere leietakere gjelder her. I tillegg må du sørge for at samme database og sertifikater brukes under overføringen til Multi-Tenant HDS.
| 1 |
Logg inn på partnerhub. Klikk på Tjenester i venstre rute. Bruk den samme ISO-en fra den forrige HDS-distribusjonen din til å konfigurere nodene. Dette vil sikre at meldinger og innhold generert av brukerne i den forrige eksisterende HDS-distribusjonen fortsatt er tilgjengelig i det nye oppsettet for flere leietakere. |
| 2 |
I delen Skytjenester finner du kortet Hybrid datasikkerhet og klikker på Konfigurer. |
| 3 |
På siden som åpnes, klikk på Legg til en ressurs. |
| 4 |
I det første feltet på kortet Legg til en node skriver du inn et navn på klyngen du vil tilordne Hybrid Data Security-noden til. Vi anbefaler at du navngir en klynge basert på hvor nodene i klyngen befinner seg geografisk. Eksempler: «San Francisco» eller «New York» eller «Dallas» |
| 5 |
I det andre feltet skriver du inn den interne IP-adressen eller det fullstendig kvalifiserte domenenavnet (FQDN) til noden din og klikker på Legg til nederst på skjermen. Denne IP-adressen eller FQDN-en skal samsvare med IP-adressen eller vertsnavnet og domenet du brukte i Konfigurer den hybride virtuelle datamaskinen for datasikkerhet. Det vises en melding som angir at du kan registrere noden din i Webex.
|
| 6 |
Klikk på Gå til node. Etter noen få øyeblikk blir du omdirigert til nodetilkoblingstestene for Webex-tjenester. Hvis alle testene er vellykkede, vises siden Tillat tilgang til hybrid datasikkerhetsnode. Der bekrefter du at du vil gi Webex-organisasjonen din tillatelse til å få tilgang til noden din. |
| 7 |
Merk av i boksen Tillat tilgang til hybrid datasikkerhetsnode, og klikk deretter på Fortsett. Kontoen din er validert, og meldingen «Registrering fullført» indikerer at noden din nå er registrert i Webex Cloud. På siden Hybrid datasikkerhet vises den nye klyngen som inneholder noden du registrerte, under fanen Ressurser. Noden vil automatisk laste ned den nyeste programvaren fra skyen.
|
| 8 |
Gå til fanen Innstillinger og klikk på Aktiver på HDS-statuskortet. Meldingen om aktivert HDS vises nederst på skjermen.
|
| 9 |
I Ressurserklikker du på den nyopprettede klyngen. |
| 10 |
På siden som åpnes, klikk på fanen Tildelte kunder. |
| 11 |
Klikk på Legg til kunder. |
| 12 |
Velg kunden du vil legge til fra rullegardinmenyen. |
| 13 |
Klikk på Legg til, kunden vil bli lagt til i klyngen. |
| 14 |
Gjenta trinn 11 til 13 for å legge til flere kunder i klyngen din. |
| 15 |
Klikk på Ferdig nederst på skjermen når du har lagt til kundene. |
Hva du skal gjøre nå
Bruk OpenSSL til å generere en PKCS12-fil
Før du begynner
-
OpenSSL er et verktøy som kan brukes til å lage PKCS12-filen i riktig format for lasting i HDS Setup Tool. Det finnes andre måter å gjøre dette på, og vi støtter eller fremmer ikke én måte fremfor en annen.
-
Hvis du velger å bruke OpenSSL, tilbyr vi denne prosedyren som en veiledning for å hjelpe deg med å opprette en fil som oppfyller X.509-sertifikatkravene i X.509-sertifikatkrav. Forstå disse kravene før du fortsetter.
-
Installer OpenSSL i et støttet miljø. Se https://www.openssl.org for programvare og dokumentasjon.
-
Opprett en privat nøkkel.
-
Start denne prosedyren når du mottar serversertifikatet fra sertifiseringsinstansen din (CA).
| 1 |
Når du mottar serversertifikatet fra CA-en din, lagrer du det som |
| 2 |
Vis sertifikatet som tekst, og bekreft detaljene.
|
| 3 |
Bruk en teksteditor til å opprette en sertifikatpakkefil kalt
|
| 4 |
Opprett .p12-filen med det egendefinerte navnet
|
| 5 |
Sjekk detaljene for serversertifikatet. |
Hva du skal gjøre nå
Gå tilbake til Fullfør forutsetningene for hybrid datasikkerhet. Du bruker hdsnode.p12 -filen og passordet du har angitt for den i Opprett en konfigurasjons-ISO for HDS-vertene.
Du kan bruke disse filene på nytt for å be om et nytt sertifikat når det opprinnelige sertifikatet utløper.
Trafikk mellom HDS-nodene og skyen
Utgående målinger Innsamling av trafikk
Hybrid datasikkerhetsnodene sender visse målinger til Webex-skyen. Disse inkluderer systemmålinger for heap maks, heap brukt, CPU-belastning og trådantall; målinger på synkrone og asynkrone tråder; målinger på varsler som involverer en terskel for krypteringstilkoblinger, latens eller en forespørselskølengde; målinger på datalageret; og målinger for krypteringstilkoblinger. Nodene sender kryptert nøkkelmateriale over en out-of-band (separat fra forespørselen) kanal.
Innkommende trafikk
Hybride datasikkerhetsnoder mottar følgende typer innkommende trafikk fra Webex-skyen:
-
Krypteringsforespørsler fra klienter, som rutes av krypteringstjenesten
-
Oppgraderinger til nodeprogramvaren
Konfigurer Squid-proxyer for hybrid datasikkerhet
Websocket kan ikke koble til via Squid-proxyen
Squid-proxyer som inspiserer HTTPS-trafikk kan forstyrre etableringen av websocket (wss:)-tilkoblinger som Hybrid Data Security krever. Disse avsnittene gir veiledning om hvordan du konfigurerer ulike versjoner av Squid til å ignorere wss: -trafikk for at tjenestene skal fungere som de skal.
Blekksprut 4 og 5
Legg til on_unsupported_protocol -direktivet i squid.conf:
on_unsupported_protocol tunnel allBlekksprut 3.5.27
Vi testet hybrid datasikkerhet med følgende regler lagt til i squid.conf. Disse reglene kan endres etter hvert som vi utvikler funksjoner og oppdaterer Webex-skyen.
acl wssMercuryConnection ssl::server_name_regex mercury-connection
ssl_bump splice wssMercuryConnection
acl step1 at_step SslBump1
acl step2 at_step SslBump2
acl step3 at_step SslBump3
ssl_bump peek step1 all
ssl_bump stare step2 all
ssl_bump bump step3 allNy og endret informasjon
Ny og endret informasjon
Denne tabellen dekker nye funksjoner eller funksjonalitet, endringer i eksisterende innhold og eventuelle større feil som ble rettet i Distribusjonsveiledningen for hybrid datasikkerhet for flere leietakere.
|
Dato |
Endringer gjort |
|---|---|
|
21. november 2025 |
|
|
8. mai 2025 |
|
| 4. mars 2025 |
|
|
30. januar 2025 |
La til SQL Server versjon 2022 i listen over støttede SQL-servere i Krav til databaseserver. |
|
15. januar 2025 |
Lagt til Begrensninger for hybrid datasikkerhet med flere leietakere. |
|
8. januar 2025 |
La til et notat i Utfør første oppsett og last ned installasjonsfiler som sier at det å klikke på Konfigurer på HDS-kortet i Partner Hub er et viktig trinn i installasjonsprosessen. |
|
7. januar 2025 |
Oppdaterte Krav til virtuell vert, Oppgaveflyt for distribusjon av hybrid datasikkerhetog Installer HDS-verten OVA for å vise de nye kravene til ESXi 7.0. |
|
13. desember 2024 |
Først publisert. |
Deaktiver hybrid datasikkerhet for flere leietakere
Oppgaveflyt for deaktivering av HDS for flere leietakere
Følg disse trinnene for å deaktivere HDS med flere leietakere fullstendig.
Før du begynner
| 1 |
Fjern alle kunder fra alle klyngene dine, som nevnt i Fjern leietakerorganisasjoner. |
| 2 |
Tilbakekalle CMK-ene til alle kunder, som nevnt i Tilbakekalle CMK-er for leietakere fjernet fra HDS.. |
| 3 |
Fjern alle noder fra alle klyngene dine, som nevnt i Fjern en node. |
| 4 |
Slett alle klyngene dine fra Partner Hub ved hjelp av én av følgende to metoder.
|
| 5 |
Klikk på fanen Innstillinger på oversiktssiden for hybrid datasikkerhet, og klikk på Deaktiver HDS på HDS-statuskortet. |
Ofte stilte spørsmål
Ofte stilte spørsmål
Q. Lagres CMK-ene og hovednøkkelen i ISO-filen eller i databasen?
EN. Kundens hovednøkler (CMK-er) lagres i databasen og krypteres med hovednøkkelen, som er lagret i ISO-en.
Q. Brukes én nøkkel til å kryptere alle dataene til kundeorganisasjoner?
EN. Nei. Hver kundeorganisasjons data er kryptert med sin egen CMK (kundens hovednøkkel).
Q. Hva skjer hvis jeg deaktiverer HDS fra Partner Hub?
EN. Enkelte operasjoner, som å opprette et lokale og planlegge møter, vil bli påvirket umiddelbart. Eksisterende innhold i områder vil være tilgjengelig inntil den lokale hurtigbufferen utløper. Etter 24 timer vil brukere som administreres av partneren bytte til Cloud KMS, og det kan oppstå problemer med tidligere opprettede områder og én-til-én-områder.
Q. Når CMK-en er generert for en kundeorganisasjon via HDS-oppsettverktøyet, begynner brukerne av kundeorganisasjonen umiddelbart å bruke Multi-Tenant HDS?
EN. Det kan være en maksimal forsinkelse på 24 timer før skybufferen oppdateres.
Q. Hvorfor ser jeg ikke en liste over kunder når jeg klikker på «Legg til kunder»-knappen i Partner Hub?
EN. Dette betyr vanligvis at det ikke finnes noen kundeorganisasjoner som oppfyller Cisco Webex-lisenskravene.
Spørsmål: Hva blir konsekvensen hvis alle HDS-noder stenges ned, eller hvis et nettverksproblem påvirker alle HDS-noder?
EN. Operasjoner som å opprette rom og planlegge møter påvirkes umiddelbart. Eksisterende innhold er bare tilgjengelig inntil den lokale hurtigbufferen utløper.
Q. Er partnerorganisasjonens brukerdata kryptert med hovednøkkelen som ble generert under ISO-opprettelsen?
EN. Ja. For øyeblikket er partnerorganisasjonens brukerdata kryptert med hovednøkkelen. I fremtiden vil partnerorganisasjoner ha partnerspesifikke nøkler, i likhet med kundenes CMK-er.
Spørsmål: Kan partnerorganisasjonen og leietakerorganisasjonene være i forskjellige regioner (for eksempel USA og EU)?
EN. Ja. Partner- og leietakerorganisasjoner kan være lokalisert i forskjellige geografiske regioner.
Spørsmål: Finnes det noen mekanisme for å flytte nøkler tilbake til Cloud KMS?
EN. Det finnes ingen mekanisme for å flytte nøkler tilbake til skyen etter en HDS-distribusjon.
Spørsmål: Kan en partner fortsette å bruke Cloud KMS og utelukkende bruke Multi-Tenant HDS til å administrere kunder?
EN. Nei, dette støttes ikke for øyeblikket. Støtte for denne funksjonaliteten er planlagt for fremtiden.
Spørsmål: Hvordan kan en partner bekrefte at organisasjonen deres bruker Multi-Tenant HDS for kryptering?
EN. Logg inn på Partner Hub. Gå til Tjenester > Hybrid datasikkerhet > Innstillinger . Hvis HDS-status er aktivert, bruker brukere av partnerorganisasjonen samt tildelte kunder HDS med flere leietakere.
Alternativt kan du sjekke sysloggene dine for å bekrefte at HDS er aktivert. Se Test hybrid datasikkerhetsimplementering.
Spørsmål: Finnes det et alternativ til Docker Desktop for å kjøre HDS-oppsettverktøyet?
EN. Ja. Podman Desktop er et åpen kildekode-alternativ til Docker Desktop. Se Kjør HDS-oppsettverktøyet med Podman Desktop.
Q. Hvor mange noder kan jeg distribuere i en HDS-klynge med flere leietakere?
EN. Vi anbefaler minimum to noder og maksimum 1000.
Q. Hva er nettverkskravene som kreves for å sette opp et HDS med flere leietakere?
EN. Se Krav til ekstern tilkobling.
Q. Er Pro Pack for Control Hub et krav for partnerorganisasjoner?
EN. Nei. Pro Pack er ikke et krav for partnerorganisasjoner. Kontakt Cisco-partneren eller kontoansvarlig for å få hjelp med å konfigurere Multi-Tenant HDS.
Spørsmål: Støttes HSM i HDS med flere leietakere?
EN. Nei, for øyeblikket støtter ikke Multi-Tenant HDS HSM.
Q. Kan jeg teste flerbruker-HDS med et selvsignert sertifikat?
EN. Nei. Multi-Tenant HDS krever et sertifikat hentet fra en klarert CA som oppfyller alle kravene nevnt i X.509-sertifikatkrav.
Spørsmål: Er det nødvendig å montere ISO-en hver gang en ny kunde legges til i Partner Hub?
EN. Nei. ISO-en trenger bare å monteres når du endrer ISO-konfigurasjoner. Når du legger til en ny kunde i Partner Hub, må du sørge for at du kan opprette CMK-er ved hjelp av HDS-oppsettverktøyet. Se Opprett kundens hovednøkler (CMK-er) ved hjelp av HDS-oppsettverktøyet.
Q. Etter at Multi-Tenant HDS er distribuert på Partner Hub, begynner brukere av partnerorganisasjonen å bruke lokale KMS for nøkkeladministrasjon?
EN. Brukere vil bare begynne å bruke lokale KMS for nøkkeladministrasjon etter at HDS er aktivert i Partner Hub.
Kom i gang med hybrid datasikkerhet for flere leietakere
Oversikt over hybrid datasikkerhet for flere leietakere
Fra dag én har datasikkerhet vært hovedfokuset i utformingen av Webex-appen. Hjørnesteinen i denne sikkerheten er ende-til-ende-innholdskryptering, aktivert av Webex-appklienter som samhandler med nøkkelhåndteringstjenesten (KMS). KMS-et er ansvarlig for å opprette og administrere kryptografiske nøkler som klienter bruker til å dynamisk kryptere og dekryptere meldinger og filer.
Som standard får alle Webex-appkunder ende-til-ende-kryptering med dynamiske nøkler lagret i sky-KMS, i Ciscos sikkerhetsområde. Hybrid datasikkerhet flytter KMS-systemet og andre sikkerhetsrelaterte funksjoner til bedriftens datasenter, slik at ingen andre enn deg har nøklene til det krypterte innholdet.
Hybrid datasikkerhet for flere leietakere lar organisasjoner utnytte HDS gjennom en pålitelig lokal partner, som kan fungere som en tjenesteleverandør og administrere lokal kryptering og andre sikkerhetstjenester. Dette oppsettet gir partnerorganisasjonen full kontroll over distribusjon og administrasjon av krypteringsnøkler og sikrer at brukerdata fra kundeorganisasjoner er trygge fra ekstern tilgang. Partnerorganisasjoner setter opp HDS-instanser og oppretter HDS-klynger etter behov. Hver instans kan støtte flere kundeorganisasjoner, i motsetning til en vanlig HDS-distribusjon som er begrenset til én enkelt organisasjon.
Dette gjør det også mulig for mindre organisasjoner å utnytte HDS, siden nøkkelhåndteringstjenester og sikkerhetsinfrastruktur som datasentre eies av den pålitelige lokale partneren.
Hvordan hybrid datasikkerhet med flere leietakere gir datasuverenitet og datakontroll
- Brukergenerert innhold er beskyttet mot ekstern tilgang, som fra skytjenesteleverandører.
- Lokale betrodde partnere administrerer krypteringsnøklene til kunder de allerede har et etablert forhold til.
- Mulighet for lokal teknisk støtte, hvis partneren tilbyr dette.
- Støtter møter, meldinger og samtaleinnhold.
Dette dokumentet har som mål å hjelpe partnerorganisasjoner med å sette opp og administrere kunder under et hybrid datasikkerhetssystem for flere leietakere.
Begrensninger ved hybrid datasikkerhet for flere leietakere
- Partnerorganisasjoner må ikke ha noen eksisterende HDS-distribusjon aktiv i Control Hub.
- Leietaker- eller kundeorganisasjoner som ønsker å bli administrert av en partner, må ikke ha noen eksisterende HDS-distribusjon i Control Hub.
- Når Multi-Tenant HDS er distribuert av partneren, begynner alle brukere av kundeorganisasjoner samt brukere av partnerorganisasjonen å bruke Multi-Tenant HDS for sine krypteringstjenester.
Partnerorganisasjonen og kundeorganisasjonene de administrerer vil være på samme Multi-Tenant HDS-distribusjon.
Partnerorganisasjonen vil ikke lenger bruke skybasert KMS etter at Multi-Tenant HDS er distribuert.
- Det finnes ingen mekanisme for å flytte nøkler tilbake til Cloud KMS etter en HDS-distribusjon.
- Administratorroller har visse begrensninger. Se avsnittet nedenfor for detaljer.
Roller i hybrid datasikkerhet med flere leietakere
- Fullstendig partneradministrator – Kan administrere innstillinger for alle kunder som partneren administrerer. Kan også tilordne administratorroller til eksisterende brukere i organisasjonen og tilordne bestemte kunder som skal administreres av partneradministratorer.
- Partneradministrator – Kan administrere innstillinger for kunder som administratoren har klargjort eller som er tilordnet brukeren.
- Full administrator – Administrator for partnerorganisasjonen som er autorisert til å utføre oppgaver som å endre organisasjonsinnstillinger, administrere lisenser og tildele roller.
- Oppsett og administrasjon av komplett HDS for flere leietakere for alle kundeorganisasjoner – Full administratorrettigheter for partnere kreves.
- Administrasjon av tildelte leietakerorganisasjoner - Partneradministrator og fulle administratorrettigheter kreves.
Sikkerhetsrikets arkitektur
Webex-skyarkitekturen skiller ulike typer tjenester inn i separate områder, eller tillitsdomener, som vist nedenfor.
For å forstå hybrid datasikkerhet bedre, la oss først se på dette rene skytilfellet, der Cisco tilbyr alle funksjoner i skyverdenen sin. Identitetstjenesten, det eneste stedet hvor brukere kan bli direkte korrelert med sin personlige informasjon, som for eksempel e-postadresse, er logisk og fysisk atskilt fra sikkerhetsområdet i datasenter B. Begge er igjen atskilt fra området der kryptert innhold til slutt lagres, i datasenter C.
I dette diagrammet er klienten Webex-appen som kjører på en brukers bærbare datamaskin, og som har autentisert seg med identitetstjenesten. Når brukeren skriver en melding som skal sendes til et rom, skjer følgende trinn:
-
Klienten oppretter en sikker forbindelse med nøkkelhåndteringstjenesten (KMS), og ber deretter om en nøkkel for å kryptere meldingen. Den sikre forbindelsen bruker ECDH, og KMS krypterer nøkkelen med en AES-256-hovednøkkel.
-
Meldingen krypteres før den forlater klienten. Klienten sender den til indekseringstjenesten, som oppretter krypterte søkeindekser for å hjelpe til med fremtidige søk etter innholdet.
-
Den krypterte meldingen sendes til samsvarstjenesten for samsvarskontroller.
-
Den krypterte meldingen lagres i lagringsområdet.
Når du distribuerer hybrid datasikkerhet, flytter du sikkerhetsfunksjonene (KMS, indeksering og samsvar) til ditt lokale datasenter. De andre skytjenestene som utgjør Webex (inkludert identitets- og innholdslagring) forblir i Ciscos område.
Samarbeid med andre organisasjoner
Brukere i organisasjonen din kan regelmessig bruke Webex-appen til å samarbeide med eksterne deltakere i andre organisasjoner. Når en av brukerne dine ber om en nøkkel til et område som eies av organisasjonen din (fordi det ble opprettet av en av brukerne dine), sender KMS-systemet ditt nøkkelen til klienten via en ECDH-sikret kanal. Men når en annen organisasjon eier nøkkelen for plassen, ruter KMS-systemet ditt forespørselen ut til Webex-skyen gjennom en separat ECDH-kanal for å hente nøkkelen fra det aktuelle KMS-systemet, og returnerer deretter nøkkelen til brukeren din på den opprinnelige kanalen.
KMS-tjenesten som kjører på organisasjon A validerer tilkoblingene til KMS-er i andre organisasjoner ved hjelp av x.509 PKI-sertifikater. Se Klargjør miljøet ditt for detaljer om hvordan du genererer et x.509-sertifikat som skal brukes med din Multi-Tenant Hybrid Data Security-distribusjon.
Forventninger til implementering av hybrid datasikkerhet
En implementering av hybrid datasikkerhet krever betydelig forpliktelse og en bevissthet om risikoene som følger med å eie krypteringsnøkler.
For å implementere hybrid datasikkerhet må du oppgi:
-
Et sikkert datasenter i et land som er et støttet sted for Cisco Webex Teams-abonnementene.
-
Utstyret, programvaren og nettverkstilgangen som er beskrevet i Klargjør miljøet ditt.
Fullstendig tap av enten konfigurasjons-ISO-en du bygger for Hybrid Data Security eller databasen du oppgir, vil føre til tap av nøklene. Nøkkeltap hindrer brukere i å dekryptere plassinnhold og andre krypterte data i Webex-appen. Hvis dette skjer, kan du bygge en ny distribusjon, men bare nytt innhold vil være synlig. For å unngå tap av tilgang til data, må du:
-
Administrer sikkerhetskopiering og gjenoppretting av databasen og konfigurasjons-ISO-en.
-
Vær forberedt på å utføre rask katastrofegjenoppretting hvis en katastrofe inntreffer, for eksempel feil på databasedisken eller datasenterkatastrofe.
Det finnes ingen mekanisme for å flytte nøkler tilbake til skyen etter en HDS-distribusjon.
Høynivåoppsettprosess
Dette dokumentet dekker oppsett og administrasjon av en hybrid datasikkerhetsdistribusjon med flere leietakere:
-
Konfigurer hybrid datasikkerhet– Dette inkluderer å forberede nødvendig infrastruktur og installere hybrid datasikkerhetsprogramvare, bygge en HDS-klynge, legge til leietakerorganisasjoner i klyngen og administrere kundens hovednøkler (CMK-er). Dette vil gjøre det mulig for alle brukere i kundeorganisasjonene dine å bruke hybriddatasikkerhetsklyngen din til sikkerhetsfunksjoner.
Oppsett-, aktiverings- og administrasjonsfasene dekkes i detalj i de neste tre kapitlene.
-
Vedlikehold din hybride datasikkerhetsdistribusjon– Webex-skyen tilbyr automatisk kontinuerlige oppgraderinger. IT-avdelingen din kan tilby støtte på nivå én for denne utrullingen, og engasjere Cisco-støtte etter behov. Du kan bruke varsler på skjermen og konfigurere e-postbaserte varsler i Partner Hub.
-
Forstå vanlige varsler, feilsøkingstrinn og kjente problemer– Hvis du støter på problemer med å distribuere eller bruke Hybrid Data Security, kan det siste kapittelet i denne veiledningen og tillegget om kjente problemer hjelpe deg med å finne og løse problemet.
Hybrid distribusjonsmodell for datasikkerhet
Innenfor bedriftens datasenter distribuerer du Hybrid Data Security som en enkelt klynge av noder på separate virtuelle verter. Nodene kommuniserer med Webex-skyen via sikre websockets og sikker HTTP.
Under installasjonsprosessen gir vi deg OVA-filen for å konfigurere den virtuelle enheten på de virtuelle maskinene du stiller til rådighet. Du bruker HDS-oppsettverktøyet til å opprette en tilpasset ISO-fil for klyngekonfigurasjon som du monterer på hver node. Hybrid Data Security-klyngen bruker den oppgitte Syslogd-serveren og PostgreSQL- eller Microsoft SQL Server-databasen. (Du konfigurerer Syslogd og databasetilkoblingsdetaljene i HDS-oppsettverktøyet.)
Minimum antall noder du kan ha i en klynge er to. Vi anbefaler minst tre per klynge. Å ha flere noder sikrer at tjenesten ikke avbrytes under en programvareoppgradering eller annen vedlikeholdsaktivitet på en node. (Webex-skyen oppgraderer bare én node om gangen.)
Alle noder i en klynge har tilgang til det samme nøkkeldatalageret og logger aktivitet til den samme syslog-serveren. Selve nodene er statsløse og håndterer viktige forespørsler i runde-robin-modus, som anvist av skyen.
Noder blir aktive når du registrerer dem i Partner Hub. For å ta en individuell node ut av drift, kan du avregistrere den og senere registrere den på nytt om nødvendig.
Standby-datasenter for katastrofegjenoppretting
Under utrullingen setter du opp et sikkert reservedatasenter. I tilfelle en datasenterkatastrofe kan du manuelt overføre utrullingen til reservedatasenteret.
Databasene til de aktive og standby-datasentrene er synkroniserte med hverandre, noe som vil minimere tiden det tar å utføre failover.
De aktive Hybrid Data Security-nodene må alltid være i samme datasenter som den aktive databaseserveren.
Sett opp et reservedatasenter for katastrofegjenoppretting
Følg trinnene nedenfor for å konfigurere ISO-filen til standby-datasenteret:
Før du begynner
-
Standby-datasenteret bør speile produksjonsmiljøet til virtuelle maskiner og en sikkerhetskopi av PostgreSQL- eller Microsoft SQL Server-database. Hvis for eksempel produksjonen har 3 virtuelle maskiner som kjører HDS-noder, bør sikkerhetskopieringsmiljøet ha 3 virtuelle maskiner. (Se Standby-datasenter for katastrofegjenoppretting for en oversikt over denne failover-modellen.)
-
Sørg for at databasesynkronisering er aktivert mellom databasen til aktive og passive klyngenoder.
| 1 |
Start HDS-oppsettverktøyet og følg trinnene som er nevnt i Opprett en konfigurasjons-ISO for HDS-vertene. ISO-filen må være en kopi av den originale ISO-filen til det primære datasenteret som følgende konfigurasjonsoppdateringer skal gjøres på. |
| 2 |
Etter at du har konfigurert Syslogd-serveren, klikker du på Avanserte innstillinger |
| 3 |
På siden Avanserte innstillinger legger du til konfigurasjonen nedenfor for å sette noden i passiv modus. I denne modusen vil noden være registrert i organisasjonen og koblet til skyen, men vil ikke håndtere noen trafikk.
|
| 4 |
Fullfør konfigurasjonsprosessen og lagre ISO-filen på et sted som er lett å finne. |
| 5 |
Lag en sikkerhetskopi av ISO-filen på ditt lokale system. Oppbevar sikkerhetskopien sikkert. Denne filen inneholder en hovedkrypteringsnøkkel for databaseinnholdet. Begrens tilgangen til kun de administratorene for hybrid datasikkerhet som skal gjøre konfigurasjonsendringer. |
| 6 |
I VMware vSphere-klientens venstre navigasjonsrute høyreklikker du på den virtuelle maskinen og klikker på Rediger innstillinger.. |
| 7 |
Klikk på Rediger innstillinger >CD/DVD Stasjon 1 og velg Datastore ISO-fil. Sørg for at Tilkoblet og Koble til ved oppstart er avmerket, slik at oppdaterte konfigurasjonsendringer kan tre i kraft etter at nodene har startet. |
| 8 |
Slå på HDS-noden og sørg for at det ikke er noen alarmer på minst 15 minutter. |
| 9 |
Gjenta prosessen for hver node i standby-datasenteret. Sjekk sysloggene for å bekrefte at nodene er i passiv modus. Du skal kunne se meldingen «KMS konfigurert i passiv modus» i sysloggene. |
Hva du skal gjøre nå
Etter at du har konfigurert passiveMode i ISO-filen og lagret den, kan du opprette en ny kopi av ISO-filen uten passiveMode -konfigurasjonen og lagre den på et sikkert sted. Denne kopien av ISO-filen uten passiveMode konfigurert kan bidra til en rask failover-prosess under katastrofegjenoppretting. Se Katastrofegjenoppretting ved bruk av Standby Data Center for den detaljerte failover-prosedyren.
Proxy-støtte
Hybrid datasikkerhet støtter eksplisitte, transparente inspiserende og ikke-inspiserende proxyer. Du kan knytte disse proxy-tjenerne til distribusjonen din, slik at du kan sikre og overvåke trafikk fra bedriften og ut til skyen. Du kan bruke et plattformadministratorgrensesnitt på nodene for sertifikatadministrasjon og for å sjekke den generelle tilkoblingsstatusen etter at du har konfigurert proxyen på nodene.
Hybrid Data Security-nodene støtter følgende proxy-alternativer:
-
Ingen proxy– Standardinnstillingen hvis du ikke bruker HDS-nodeoppsettet Trust Store & Proxy-konfigurasjon for å integrere en proxy. Ingen sertifikatoppdatering er nødvendig.
-
Transparent ikke-inspiserende proxy– Nodene er ikke konfigurert til å bruke en spesifikk proxy-serveradresse og skal ikke kreve noen endringer for å fungere med en ikke-inspiserende proxy. Ingen sertifikatoppdatering er nødvendig.
-
Transparent tunnelering eller inspeksjon av proxy– Nodene er ikke konfigurert til å bruke en spesifikk proxy-serveradresse. Ingen endringer i HTTP- eller HTTPS-konfigurasjonen er nødvendige på nodene. Nodene trenger imidlertid et rotsertifikat slik at de stoler på proxyen. Inspeksjon av proxyer brukes vanligvis av IT for å håndheve retningslinjer for hvilke nettsteder som kan besøkes og hvilke typer innhold som ikke er tillatt. Denne typen proxy dekrypterer all trafikken din (til og med HTTPS).
-
Eksplisitt proxy– Med eksplisitt proxy forteller du HDS-nodene hvilken proxy-server og autentiseringsskjema de skal bruke. For å konfigurere en eksplisitt proxy, må du angi følgende informasjon på hver node:
-
Proxy IP/FQDN– Adresse som kan brukes til å nå proxy-maskinen.
-
Proxy-port– Et portnummer som proxyen bruker til å lytte etter proxy-trafikk.
-
Proxy-protokoll– Avhengig av hva proxy-serveren din støtter, kan du velge mellom følgende protokoller:
-
HTTP – Viser og kontrollerer alle forespørsler som klienten sender.
-
HTTPS – Gir en kanal til serveren. Klienten mottar og validerer serverens sertifikat.
-
-
Autentiseringstype– Velg blant følgende autentiseringstyper:
-
Ingen– Ingen ytterligere autentisering er nødvendig.
Tilgjengelig hvis du velger enten HTTP eller HTTPS som proxy-protokoll.
-
Grunnleggende– Brukes av en HTTP-brukeragent for å oppgi brukernavn og passord når en forespørsel sendes. Bruker Base64-koding.
Tilgjengelig hvis du velger enten HTTP eller HTTPS som proxy-protokoll.
Krever at du oppgir brukernavn og passord på hver node.
-
Sammendrag– Brukes til å bekrefte kontoen før sensitiv informasjon sendes. Bruker en hash-funksjon på brukernavnet og passordet før sending over nettverket.
Bare tilgjengelig hvis du velger HTTPS som proxy-protokoll.
Krever at du oppgir brukernavn og passord på hver node.
-
-
Eksempel på hybride datasikkerhetsnoder og proxy
Dette diagrammet viser et eksempel på en tilkobling mellom Hybrid Data Security, nettverket og en proxy. For proxy-alternativene for transparent inspeksjon og HTTPS-eksplisitt inspeksjon må det samme rotsertifikatet installeres på proxyen og på Hybrid Data Security-nodene.
Blokkert ekstern DNS-oppløsningsmodus (eksplisitte proxy-konfigurasjoner)
Når du registrerer en node eller sjekker nodens proxy-konfigurasjon, tester prosessen DNS-oppslag og tilkobling til Cisco Webex-skyen. I distribusjoner med eksplisitte proxy-konfigurasjoner som ikke tillater ekstern DNS-løsning for interne klienter, går noden automatisk inn i modus for blokkert ekstern DNS-løsning hvis den ikke kan spørre DNS-serverne. I denne modusen kan noderegistrering og andre proxy-tilkoblingstester fortsette.
Forbered miljøet ditt
Krav til hybrid datasikkerhet for flere leietakere
Krav til Cisco Webex-lisens
Slik distribuerer du hybrid datasikkerhet for flere leietakere:
-
Partnerorganisasjoner: Kontakt Cisco-partneren eller kontoansvarlig din, og sørg for at flerleietakerfunksjonen er aktivert.
-
Leietakerorganisasjoner: Du må ha Pro Pack for Cisco Webex Control Hub. (Se https://www.cisco.com/go/pro-pack.)
Krav til Docker-skrivebordet
Før du installerer HDS-nodene dine, trenger du Docker Desktop for å kjøre et installasjonsprogram. Docker har nylig oppdatert lisensmodellen sin. Organisasjonen din kan kreve et betalt abonnement for Docker Desktop. For mer informasjon, se Docker-blogginnlegget « Docker oppdaterer og utvider produktabonnementene våre».
Kunder uten Docker Desktop-lisens kan bruke et åpen kildekode-verktøy for containeradministrasjon som Podman Desktop til å kjøre, administrere og opprette containere. Se Kjør HDS-oppsettverktøyet med Podman Desktop for detaljer.
Krav til X.509-sertifikat
Sertifikatkjeden må oppfylle følgende krav:
|
Behov |
Detaljer |
|---|---|
|
Som standard stoler vi på CA-ene i Mozilla-listen (med unntak av WoSign og StartCom) på https://wiki.mozilla.org/CA:IncludedCAs. |
|
CN-en trenger ikke å være tilgjengelig eller en live vert. Vi anbefaler at du bruker et navn som gjenspeiler organisasjonen din, for eksempel KN-en må ikke inneholde en * (jokertegn). CN-en brukes til å bekrefte hybriddatasikkerhetsnodene til Webex-appklienter. Alle hybriddatasikkerhetsnodene i klyngen din bruker det samme sertifikatet. KMS-systemet ditt identifiserer seg ved hjelp av CN-domenet, ikke et hvilket som helst domene som er definert i x.509v3 SAN-feltene. Når du har registrert en node med dette sertifikatet, støtter vi ikke endring av CN-domenenavnet. |
|
KMS-programvaren støtter ikke SHA1-signaturer for validering av tilkoblinger til andre organisasjoners KMS-er. |
|
Du kan bruke en konverter som OpenSSL for å endre formatet på sertifikatet ditt. Du må oppgi passordet når du kjører HDS-oppsettverktøyet. |
KMS-programvaren håndhever ikke begrensninger for nøkkelbruk eller utvidede nøkkelbruk. Noen sertifikatmyndigheter krever at utvidede begrensninger for nøkkelbruk legges til grunn for hvert sertifikat, for eksempel serverautentisering. Det er greit å bruke serverautentisering eller andre innstillinger.
Krav til virtuelle verter
De virtuelle vertene du skal sette opp som hybride datasikkerhetsnoder i klyngen din, har følgende krav:
-
Minst to separate verter (3 anbefalt) samlokalisert i samme sikre datasenter
-
VMware ESXi 7.0 eller 8.0 installert og kjører.
Du må oppgradere hvis du har en tidligere versjon av ESXi.
-
Minimum 4 vCPU-er, 8 GB hovedminne, 30 GB lokal harddiskplass per server
Krav til databaseserver
Opprett en ny database for nøkkellagring. Ikke bruk standarddatabasen. HDS-applikasjonene oppretter databaseskjemaet når de er installert.
Det finnes to alternativer for databaseserveren. Kravene for hver av dem er som følger:
|
PostgreSQL |
Microsoft SQL Server |
|---|---|
|
|
|
Minimum 8 vCPU-er, 16 GB hovedminne, tilstrekkelig harddiskplass og overvåking for å sikre at den ikke overskrides (2 TB anbefales hvis du vil kjøre databasen over lengre tid uten å måtte øke lagringsplassen) |
Minimum 8 vCPU-er, 16 GB hovedminne, tilstrekkelig harddiskplass og overvåking for å sikre at den ikke overskrides (2 TB anbefales hvis du vil kjøre databasen over lengre tid uten å måtte øke lagringsplassen) |
HDS-programvaren installerer for øyeblikket følgende driverversjoner for kommunikasjon med databaseserveren:
|
PostgreSQL |
Microsoft SQL Server |
|---|---|
|
Postgres JDBC-driver 42.2.5 |
SQL Server JDBC-driver 4.6 Denne driverversjonen støtter SQL Server Always On ( Always On Failover Cluster Instances og Always On tilgjengelighetsgrupper). |
Ytterligere krav for Windows-autentisering mot Microsoft SQL Server
Hvis du vil at HDS-noder skal bruke Windows-autentisering for å få tilgang til nøkkeldatabasen din på Microsoft SQL Server, trenger du følgende konfigurasjon i miljøet ditt:
-
HDS-nodene, Active Directory-infrastrukturen og MS SQL Server må alle synkroniseres med NTP.
-
Windows-kontoen du oppgir til HDS-noder må ha read/write tilgang til databasen.
-
DNS-serverne du tilbyr HDS-noder må kunne løse nøkkeldistribusjonssenteret ditt (KDC).
-
Du kan registrere HDS-databaseforekomsten på Microsoft SQL Server som et Service Principal Name (SPN) i Active Directory. Se Registrer et tjenestehovednavn for Kerberos-tilkoblinger.
HDS-oppsettverktøyet, HDS-startprogrammet og det lokale KMS-systemet må alle bruke Windows-autentisering for å få tilgang til nøkkellagerdatabasen. De bruker detaljene fra ISO-konfigurasjonen din til å konstruere SPN-en når de ber om tilgang med Kerberos-autentisering.
Krav til eksterne tilkoblinger
Konfigurer brannmuren din til å tillate følgende tilkobling for HDS-applikasjonene:
|
Søknad |
Protokoll |
Havn |
Veibeskrivelse fra appen |
Destinasjon |
|---|---|---|---|---|
|
Hybride datasikkerhetsnoder |
TCP |
443 |
Utgående HTTPS og WSS |
|
|
HDS-oppsettverktøy |
TCP |
443 |
Utgående HTTPS |
|
Hybrid Data Security-nodene fungerer med nettverkstilgangsoversettelse (NAT) eller bak en brannmur, så lenge NAT-en eller brannmuren tillater de nødvendige utgående tilkoblingene til domenedestinasjonene i den foregående tabellen. For tilkoblinger som går inn til Hybrid Data Security-nodene, skal ingen porter være synlige fra Internett. Innenfor datasenteret ditt trenger klienter tilgang til Hybrid Data Security-nodene på TCP-portene 443 og 22 for administrative formål.
URL-ene for CI-vertene (Common Identity) er regionspesifikke. Dette er de nåværende CI-vertene:
|
Region |
Felles identitetsverts-URL-er |
|---|---|
|
Amerika |
|
|
Den europeiske union |
|
|
Canada |
|
| Singapore |
|
| De forente arabiske emirater |
|
Krav til proxy-server
-
Vi støtter offisielt følgende proxy-løsninger som kan integreres med dine hybride datasikkerhetsnoder.
-
Gjennomsiktig proxy – Cisco Web Security Appliance (WSA).
-
Eksplisitt proxy – blekksprut.
Squid-proxyer som inspiserer HTTPS-trafikk kan forstyrre etableringen av websocket (wss:) forbindelser. For å omgå dette problemet, se Konfigurer Squid-proxyer for hybrid datasikkerhet.
-
-
Vi støtter følgende autentiseringstypekombinasjoner for eksplisitte proxyer:
-
Ingen autentisering med HTTP eller HTTPS
-
Grunnleggende autentisering med HTTP eller HTTPS
-
Digest-autentisering kun med HTTPS
-
-
For en transparent inspiserende proxy eller en eksplisitt HTTPS-proxy må du ha en kopi av proxyens rotsertifikat. Distribusjonsinstruksjonene i denne veiledningen forteller deg hvordan du laster opp kopien til Hybrid Data Security-nodenes klareringslagre.
-
Nettverket som er vert for HDS-nodene må konfigureres til å tvinge utgående TCP-trafikk på port 443 til å rutes gjennom proxyen.
-
Proxyer som inspiserer webtrafikk kan forstyrre web socket-tilkoblinger. Hvis dette problemet oppstår, vil det å omgå (ikke inspisere) trafikk til
wbx2.comogciscospark.comløse problemet.
Fullfør forutsetningene for hybrid datasikkerhet
| 1 |
Sørg for at partnerorganisasjonen din har Multi-Tenant HDS-funksjonen aktivert, og hent legitimasjonen til en konto med partnerrettigheter og fulle administratorrettigheter. Sørg for at Webex-kundeorganisasjonen din er aktivert for Pro Pack for Cisco Webex Control Hub. Kontakt din Cisco-partner eller kontoansvarlige for å få hjelp med denne prosessen. Kundeorganisasjoner skal ikke ha noen eksisterende HDS-distribusjon. |
| 2 |
Velg et domenenavn for HDS-distribusjonen din (for eksempel |
| 3 |
Forbered identiske virtuelle verter som du vil konfigurere som hybride datasikkerhetsnoder i klyngen din. Du trenger minst to separate verter (3 anbefales) samlokalisert i samme sikre datasenter, som oppfyller kravene i Krav til virtuelle verter. |
| 4 |
Klargjør databaseserveren som skal fungere som nøkkeldatalager for klyngen, i henhold til Databaseserverkrav. Databaseserveren må være samlokalisert i det sikre datasenteret med de virtuelle vertene. |
| 5 |
For rask gjenoppretting etter katastrofer, sett opp et sikkerhetskopieringsmiljø i et annet datasenter. Sikkerhetskopieringsmiljøet speiler produksjonsmiljøet til virtuelle maskiner og en sikkerhetskopieringsdatabaseserver. Hvis for eksempel produksjonen har 3 virtuelle maskiner som kjører HDS-noder, bør sikkerhetskopieringsmiljøet ha 3 virtuelle maskiner. |
| 6 |
Konfigurer en syslog-vert for å samle inn logger fra nodene i klyngen. Hent nettverksadressen og syslog-porten (standard er UDP 514). |
| 7 |
Opprett en sikker sikkerhetskopieringspolicy for Hybrid Data Security-nodene, databaseserveren og syslog-verten. For å forhindre uopprettelig datatap må du som et minimum sikkerhetskopiere databasen og ISO-konfigurasjonsfilen som er generert for Hybrid Data Security-nodene. Fordi hybride datasikkerhetsnoder lagrer nøklene som brukes i kryptering og dekryptering av innhold, vil manglende opprettholdelse av en operativ distribusjon føre til UOPPRETTBART TAP av innholdet. Webex-appklienter bufrer nøklene sine, så et driftsavbrudd er kanskje ikke umiddelbart merkbart, men vil bli tydelig over tid. Selv om midlertidige avbrudd er umulige å forhindre, kan de gjenopprettes. Fullstendig tap (ingen sikkerhetskopier tilgjengelig) av enten databasen eller konfigurasjons-ISO-filen vil imidlertid føre til uopprettelige kundedata. Operatørene av Hybrid Data Security-nodene forventes å opprettholde hyppige sikkerhetskopier av databasen og ISO-konfigurasjonsfilen, og være forberedt på å gjenoppbygge Hybrid Data Security-datasenteret hvis det oppstår en katastrofal feil. |
| 8 |
Sørg for at brannmurkonfigurasjonen din tillater tilkobling for hybriddatasikkerhetsnodene dine som beskrevet i Krav til ekstern tilkobling. |
| 9 |
Installer Docker ( https://www.docker.com) på en hvilken som helst lokal maskin som kjører et støttet operativsystem (Microsoft Windows 10 Professional eller Enterprise 64-bit, eller Mac OSX Yosemite 10.10.3 eller nyere) med en nettleser som har tilgang til det på http://127.0.0.1:8080. Du bruker Docker-forekomsten til å laste ned og kjøre HDS Setup Tool, som bygger den lokale konfigurasjonsinformasjonen for alle Hybrid Data Security-nodene. Du trenger kanskje en Docker Desktop-lisens. Se Krav til Docker Desktop for mer informasjon. For å installere og kjøre HDS Setup Tool, må den lokale maskinen ha tilkoblingsmulighetene som er beskrevet i Krav til ekstern tilkobling. |
| 10 |
Hvis du integrerer en proxy med Hybrid Data Security, må du sørge for at den oppfyller Krav til proxyserver. |
Konfigurer en hybrid datasikkerhetsklynge
Oppgaveflyt for distribusjon av hybrid datasikkerhet
| 1 |
Utfør første oppsett og last ned installasjonsfiler Last ned OVA-filen til din lokale maskin for senere bruk. |
| 2 |
Opprett en konfigurasjons-ISO for HDS-vertene Bruk HDS-oppsettverktøyet til å opprette en ISO-konfigurasjonsfil for Hybrid Data Security-nodene. |
| 3 |
Opprett en virtuell maskin fra OVA-filen og utfør den første konfigurasjonen, for eksempel nettverksinnstillinger. Alternativet for å konfigurere nettverksinnstillinger under OVA-distribusjon har blitt testet med ESXi 7.0 og 8.0. Alternativet er kanskje ikke tilgjengelig i tidligere versjoner. |
| 4 |
Konfigurer den hybride virtuelle datamaskinen for datasikkerhet Logg på VM-konsollen og angi påloggingslegitimasjonen. Konfigurer nettverksinnstillingene for noden hvis du ikke konfigurerte dem da OVA-distribusjonen ble utført. |
| 5 |
Last opp og monter HDS-konfigurasjons-ISO-en Konfigurer den virtuelle maskinen fra ISO-konfigurasjonsfilen du opprettet med HDS-oppsettverktøyet. |
| 6 |
Konfigurer HDS-noden for proxy-integrasjon Hvis nettverksmiljøet krever proxy-konfigurasjon, angi hvilken type proxy du vil bruke for noden, og legg til proxy-sertifikatet i klareringslageret om nødvendig. |
| 7 |
Registrer den første noden i klyngen Registrer den virtuelle maskinen med Cisco Webex-skyen som en hybrid datasikkerhetsnode. |
| 8 |
Opprett og registrer flere noder Fullfør klyngeoppsettet. |
| 9 |
Aktiver HDS for flere leietakere på partnerhub. Aktiver HDS og administrer leietakerorganisasjoner på Partner Hub. |
Utfør første oppsett og last ned installasjonsfiler
I denne oppgaven laster du ned en OVA-fil til maskinen din (ikke til serverne du har satt opp som hybride datasikkerhetsnoder). Du bruker denne filen senere i installasjonsprosessen.
| 1 |
Logg på Partner Hub, og klikk deretter på Tjenester. |
| 2 |
I Hybrid-delen finner du kortet for hybrid datasikkerhet, og deretter klikker du på Konfigurer. Det er avgjørende for distribusjonsprosessen å klikke på Konfigurer i Partner Hub. Ikke fortsett med installasjonen uten å fullføre dette trinnet. |
| 3 |
Klikk på Legg til en ressurs og klikk på Last ned .OVA-fil på kortet Installer og konfigurer programvare. Eldre versjoner av programvarepakken (OVA) vil ikke være kompatible med de nyeste oppgraderingene for hybrid datasikkerhet. Dette kan føre til problemer under oppgradering av applikasjonen. Sørg for at du laster ned den nyeste versjonen av OVA-filen. Du kan også laste ned OVA når som helst fra Hjelp -delen. Klikk på . Nedlastingen av OVA-filen begynner automatisk. Lagre filen på en plassering på maskinen din.
|
Opprett en konfigurasjons-ISO for HDS-vertene
Konfigurasjonsprosessen for hybrid datasikkerhet oppretter en ISO-fil. Deretter bruker du ISO-filen til å konfigurere Hybrid Data Security-verten din.
Før du begynner
-
HDS-oppsettverktøyet kjører som en Docker-container på en lokal maskin. For å få tilgang til den, kjør Docker på den maskinen. Oppsettprosessen krever påloggingsinformasjonen til en Partner Hub-konto med fulle administratorrettigheter.
Hvis du ikke har en Docker Desktop-lisens, kan du bruke Podman Desktop til å kjøre HDS-oppsettverktøyet for trinn 1 til 5 i prosedyren nedenfor. Se Kjør HDS-oppsettverktøyet med Podman Desktop for detaljer.
Hvis HDS-oppsettverktøyet kjører bak en proxy i miljøet ditt, må du oppgi proxy-innstillingene (server, port, legitimasjon) via Docker-miljøvariabler når du åpner Docker-containeren i trinn 5 nedenfor. Denne tabellen viser noen mulige miljøvariabler:
Beskrivelse
Variabel
HTTP-proxy uten autentisering
GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORTHTTPS-proxy uten autentisering
GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORTHTTP-proxy med autentisering
GLOBAL_AGENT_HTTP_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORTHTTPS-proxy med autentisering
GLOBAL_AGENT_HTTPS_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT -
Konfigurasjons-ISO-filen du genererer inneholder hovednøkkelen som krypterer PostgreSQL- eller Microsoft SQL Server-databasen. Du trenger den nyeste kopien av denne filen hver gang du gjør konfigurasjonsendringer, som disse:
-
Databaselegitimasjon
-
Sertifikatoppdateringer
-
Endringer i autorisasjonspolicyen
-
-
Hvis du planlegger å kryptere databasetilkoblinger, må du konfigurere PostgreSQL- eller SQL Server-distribusjonen din for TLS.
| 1 |
Skriv inn riktig kommando for miljøet ditt på maskinens kommandolinje: I vanlige miljøer: I FedRAMP-miljøer: Dette trinnet rydder opp i tidligere bilder av HDS-oppsettverktøyet. Hvis det ikke finnes noen tidligere bilder, returnerer den en feil som du kan ignorere. | ||||||||||
| 2 |
For å logge på Docker-avbildningsregisteret, skriv inn følgende: | ||||||||||
| 3 |
Ved passordledeteksten skriver du inn denne hashen: | ||||||||||
| 4 |
Last ned det nyeste stabile bildet for miljøet ditt: I vanlige miljøer: I FedRAMP-miljøer: | ||||||||||
| 5 |
Når hentingen er fullført, skriver du inn riktig kommando for miljøet ditt:
Når containeren kjører, ser du «Express-server lytter på port 8080». | ||||||||||
| 6 |
Installasjonsverktøyet støtter ikke tilkobling til localhost via http://localhost:8080. Bruk http://127.0.0.1:8080 for å koble til localhost. Bruk en nettleser til å gå til localhost, Verktøyet bruker denne første oppføringen av brukernavnet til å angi riktig miljø for den kontoen. Verktøyet viser deretter standard påloggingsledetekst. | ||||||||||
| 7 |
Når du blir bedt om det, skriver du inn påloggingsinformasjonen for Partner Hub-administratoren, og klikker deretter på Logg inn for å gi tilgang til de nødvendige tjenestene for Hybrid Data Security. | ||||||||||
| 8 |
På oversiktssiden for oppsettverktøyet klikker du på Kom i gang. | ||||||||||
| 9 |
På siden ISO-import har du disse alternativene:
| ||||||||||
| 10 |
Sjekk at X.509-sertifikatet ditt oppfyller kravene i Krav til X.509-sertifikat.
| ||||||||||
| 11 |
Skriv inn databaseadressen og kontoen som HDS bruker for å få tilgang til nøkkeldatalageret ditt: | ||||||||||
| 12 |
Velg en TLS-databasetilkoblingsmodus:
Når du laster opp rotsertifikatet (hvis nødvendig) og klikker på Fortsett, tester HDS-oppsettverktøyet TLS-tilkoblingen til databaseserveren. Verktøyet verifiserer også sertifikatsigneren og vertsnavnet, hvis aktuelt. Hvis en test mislykkes, viser verktøyet en feilmelding som beskriver problemet. Du kan velge om du vil ignorere feilen og fortsette med oppsettet. (På grunn av tilkoblingsforskjeller kan HDS-nodene kanskje opprette TLS-tilkoblingen selv om HDS Setup Tool-maskinen ikke kan teste den.) | ||||||||||
| 13 |
På siden Systemlogger konfigurerer du Syslogd-serveren din: | ||||||||||
| 14 |
(Valgfritt) Du kan endre standardverdien for noen databasetilkoblingsparametere i Avanserte innstillinger. Vanligvis er denne parameteren den eneste du kanskje vil endre: | ||||||||||
| 15 |
Klikk på Fortsett på skjermbildet Tilbakestill passord for tjenestekontoer. Passord for tjenestekontoer har en levetid på ni måneder. Bruk denne skjermen når passordene dine nærmer seg utløpsdatoen, eller du vil tilbakestille dem for å ugyldiggjøre tidligere ISO-filer. | ||||||||||
| 16 |
Klikk på Last ned ISO-fil. Lagre filen på et sted som er lett å finne. | ||||||||||
| 17 |
Lag en sikkerhetskopi av ISO-filen på ditt lokale system. Oppbevar sikkerhetskopien sikkert. Denne filen inneholder en hovedkrypteringsnøkkel for databaseinnholdet. Begrens tilgangen til kun de administratorene for hybrid datasikkerhet som skal gjøre konfigurasjonsendringer. | ||||||||||
| 18 |
For å avslutte installasjonsverktøyet, skriv |
Hva du skal gjøre nå
Sikkerhetskopier konfigurasjons-ISO-filen. Du trenger det for å opprette flere noder for gjenoppretting, eller for å gjøre konfigurasjonsendringer. Hvis du mister alle kopiene av ISO-filen, har du også mistet hovednøkkelen. Det er ikke mulig å gjenopprette nøklene fra PostgreSQL- eller Microsoft SQL Server-databasen.
Vi har aldri en kopi av denne nøkkelen, og kan ikke hjelpe deg hvis du mister den.
Installer HDS Host OVA
| 1 |
Bruk VMware vSphere-klienten på datamaskinen din for å logge på den virtuelle ESXi-verten. |
| 2 |
Velg Fil > Distribuer OVF-mal. |
| 3 |
I veiviseren angir du plasseringen til OVA-filen du lastet ned tidligere, og klikker deretter på Neste. |
| 4 |
På siden Velg et navn og en mappe skriver du inn et navn på en virtuell maskin for noden (for eksempel "HDS_Node_1"), velger en plassering der distribusjonen av den virtuelle maskinnoden kan befinne seg, og klikker deretter på Neste. |
| 5 |
På siden Velg en beregningsressurs velger du målberegningsressursen og klikker deretter på Neste. En valideringskontroll kjøres. Når det er ferdig, vises maldetaljene. |
| 6 |
Bekreft maldetaljene og klikk deretter på Neste. |
| 7 |
Hvis du blir bedt om å velge ressurskonfigurasjon på siden Konfigurasjon, klikker du på 4 CPU og deretter på Neste. |
| 8 |
På siden Velg lagring klikker du på Neste for å godta standard diskformat og lagringspolicy for virtuell maskin. |
| 9 |
På siden Velg nettverk velger du nettverksalternativet fra listen over oppføringer for å gi ønsket tilkobling til den virtuelle maskinen. |
| 10 |
På siden Tilpass mal konfigurerer du følgende nettverksinnstillinger:
Hvis du foretrekker det, kan du hoppe over konfigurasjonen av nettverksinnstillingene og følge trinnene i Konfigurer den virtuelle hybriddatasikkerhetsmaskinen for å konfigurere innstillingene fra nodekonsollen. Alternativet for å konfigurere nettverksinnstillinger under OVA-distribusjon har blitt testet med ESXi 7.0 og 8.0. Alternativet er kanskje ikke tilgjengelig i tidligere versjoner. |
| 11 |
Høyreklikk på nodens virtuelle maskin, og velg deretter . Hybrid Data Security-programvaren installeres som gjest på VM-verten. Du er nå klar til å logge på konsollen og konfigurere noden. Feilsøkingstips Du kan oppleve en forsinkelse på noen få minutter før nodecontainerne dukker opp. En melding om en brobrannmur vises på konsollen under første oppstart, og du kan ikke logge på i løpet av denne tiden. |
Konfigurer den hybride virtuelle datamaskinen for datasikkerhet
Bruk denne prosedyren for å logge på Hybrid Data Security-nodens virtuelle konsoll for første gang og angi påloggingslegitimasjonen. Du kan også bruke konsollen til å konfigurere nettverksinnstillingene for noden hvis du ikke konfigurerte dem da OVA-distribusjonen ble utført.
| 1 |
I VMware vSphere-klienten velger du den virtuelle maskinen for hybrid datasikkerhetsnoden og velger fanen Konsoll. VM-en starter opp, og en påloggingsledetekst vises. Hvis påloggingsledeteksten ikke vises, trykk Enter.
|
| 2 |
Bruk følgende standardbrukernavn og passord for å logge på og endre påloggingsinformasjonen: Siden du logger på den virtuelle maskinen for første gang, må du endre administratorpassordet. |
| 3 |
Hvis du allerede har konfigurert nettverksinnstillingene i Installer HDS Host OVA, hopper du over resten av denne prosedyren. Ellers velger du alternativet Rediger konfigurasjon i hovedmenyen. |
| 4 |
Sett opp en statisk konfigurasjon med IP-adresse, maske, gateway og DNS-informasjon. Noden din skal ha en intern IP-adresse og et DNS-navn. DHCP støttes ikke. |
| 5 |
(Valgfritt) Endre vertsnavn, domene eller NTP-server(e) om nødvendig for å samsvare med nettverkspolicyen din. Du trenger ikke å angi domenet slik at det samsvarer med domenet du brukte for å hente X.509-sertifikatet. |
| 6 |
Lagre nettverkskonfigurasjonen og start den virtuelle maskinen på nytt slik at endringene trer i kraft. |
Last opp og monter HDS-konfigurasjons-ISO-en
Før du begynner
Fordi ISO-filen inneholder hovednøkkelen, bør den bare eksponeres ved behov, for tilgang av de virtuelle hybriddatasikkerhetsmaskinene og eventuelle administratorer som måtte trenge å gjøre endringer. Sørg for at bare disse administratorene har tilgang til datalageret.
| 1 |
Last opp ISO-filen fra datamaskinen din: |
| 2 |
Monter ISO-filen: |
Hva du skal gjøre nå
Hvis IT-policyen din krever det, kan du eventuelt avmontere ISO-filen etter at alle nodene dine har plukket opp konfigurasjonsendringene. Se (Valgfritt) Avmonter ISO etter HDS-konfigurasjon for detaljer.
Konfigurer HDS-noden for proxy-integrasjon
Hvis nettverksmiljøet krever en proxy, bruk denne prosedyren for å angi typen proxy du vil integrere med Hybrid Data Security. Hvis du velger en transparent inspeksjonsproxy eller en eksplisitt HTTPS-proxy, kan du bruke nodens grensesnitt til å laste opp og installere rotsertifikatet. Du kan også sjekke proxy-tilkoblingen fra grensesnittet og feilsøke eventuelle problemer.
Før du begynner
-
Se Proxy-støtte for en oversikt over de støttede proxy-alternativene.
| 1 |
Skriv inn URL-adressen for oppsett av HDS-noden |
| 2 |
Gå til Trust Store & Proxy, og velg deretter et alternativ:
Følg de neste trinnene for en transparent inspeksjonsproxy, en eksplisitt HTTP-proxy med grunnleggende autentisering eller en eksplisitt HTTPS-proxy. |
| 3 |
Klikk på Last opp et rotsertifikat eller et sluttenhetssertifikat, og naviger deretter til og velg rotsertifikatet for proxyen. Sertifikatet er lastet opp, men ikke installert ennå, fordi du må starte noden på nytt for å installere sertifikatet. Klikk på vinkelpilen ved siden av sertifikatutstederens navn for å få mer informasjon, eller klikk på Slett hvis du har gjort en feil og vil laste opp filen på nytt. |
| 4 |
Klikk på Sjekk proxy-tilkobling for å teste nettverkstilkoblingen mellom noden og proxyen. Hvis tilkoblingstesten mislykkes, vil du se en feilmelding som viser årsaken og hvordan du kan løse problemet. Hvis du ser en melding som sier at ekstern DNS-løsning ikke var vellykket, klarte ikke noden å nå DNS-serveren. Denne betingelsen er forventet i mange eksplisitte proxy-konfigurasjoner. Du kan fortsette med oppsettet, og noden vil fungere i modus for blokkert ekstern DNS-løsning. Hvis du tror dette er en feil, fullfør disse trinnene, og se deretter Slå av blokkert ekstern DNS-oppløsningsmodus. |
| 5 |
Etter at tilkoblingstesten er bestått, for eksplisitt proxy satt til kun https, slå veksleknappen på Rut alle porter 443/444 https-forespørsler fra denne noden gjennom den eksplisitte proxyen. Denne innstillingen krever 15 sekunder for å tre i kraft. |
| 6 |
Klikk på Installer alle sertifikater i klareringslageret (vises for en eksplisitt HTTPS-proxy eller en transparent inspiserende proxy) eller Start på nytt (vises for en eksplisitt HTTP-proxy), les ledeteksten, og klikk deretter på Installer hvis du er klar. Noden starter på nytt innen få minutter. |
| 7 |
Etter at noden har startet på nytt, logg inn igjen om nødvendig, og åpne deretter siden Oversikt for å sjekke tilkoblingskontrollene og sørge for at de alle har grønn status. Proxy-tilkoblingskontrollen tester bare et underdomene av webex.com. Hvis det er tilkoblingsproblemer, er et vanlig problem at noen av skydomenene som er oppført i installasjonsinstruksjonene, blokkeres av proxy-tjeneren. |
Registrer den første noden i klyngen
Når du registrerer din første node, oppretter du en klynge som noden er tilordnet. En klynge inneholder én eller flere noder som er distribuert for å gi redundans.
Før du begynner
-
Når du har startet registreringen av en node, må du fullføre den innen 60 minutter, ellers må du starte på nytt.
-
Sørg for at eventuelle popup-blokkeringer i nettleseren din er deaktivert, eller at du tillater et unntak for admin.webex.com.
| 1 |
Logg inn på https://admin.webex.com. |
| 2 |
Fra menyen på venstre side av skjermen velger du Tjenester. |
| 3 |
I Hybrid-delen finner du Hybrid Data Security-kortet og klikker på Konfigurer. |
| 4 |
På siden som åpnes, klikk på Legg til en ressurs. |
| 5 |
I det første feltet på kortet Opprett en ny klynge skriver du inn et navn for klyngen du vil tilordne Hybrid Data Security-noden til. Vi anbefaler at du navngir en klynge basert på hvor nodene i klyngen befinner seg geografisk. Eksempler: «San Francisco» eller «New York» eller «Dallas» |
| 6 |
I det andre feltet skriver du inn den interne IP-adressen eller det fullstendig kvalifiserte domenenavnet (FQDN) til noden din og klikker på Legg til nederst på skjermen. Denne IP-adressen eller FQDN-en skal samsvare med IP-adressen eller vertsnavnet og domenet du brukte i Konfigurer den hybride virtuelle datamaskinen for datasikkerhet. Det vises en melding som angir at du kan registrere noden din i Webex.
|
| 7 |
Klikk på Gå til node. Etter noen få øyeblikk blir du omdirigert til nodetilkoblingstestene for Webex-tjenester. Hvis alle testene er vellykkede, vises siden Tillat tilgang til hybrid datasikkerhetsnode. Der bekrefter du at du vil gi Webex-organisasjonen din tillatelse til å få tilgang til noden din. |
| 8 |
Merk av i boksen Tillat tilgang til hybrid datasikkerhetsnode, og klikk deretter på Fortsett. Kontoen din er validert, og meldingen «Registrering fullført» indikerer at noden din nå er registrert i Webex-skyen.
|
| 9 |
Klikk på lenken eller lukk fanen for å gå tilbake til Partner Hub Hybrid Data Security-siden. På siden Hybrid datasikkerhet vises den nye klyngen som inneholder noden du registrerte, under fanen Ressurser. Noden vil automatisk laste ned den nyeste programvaren fra skyen.
|
Opprett og registrer flere noder
Før du begynner
-
Når du har startet registreringen av en node, må du fullføre den innen 60 minutter, ellers må du starte på nytt.
-
Sørg for at eventuelle popup-blokkeringer i nettleseren din er deaktivert, eller at du tillater et unntak for admin.webex.com.
| 1 |
Opprett en ny virtuell maskin fra OVA-en, og gjenta trinnene i Installer HDS Host OVA. |
| 2 |
Konfigurer den første konfigurasjonen på den nye virtuelle maskinen, og gjenta trinnene i Konfigurer den hybride virtuelle maskinen for datasikkerhet. |
| 3 |
Gjenta trinnene i Last opp og monter HDS-konfigurasjons-ISOpå den nye virtuelle maskinen. |
| 4 |
Hvis du konfigurerer en proxy for distribusjonen din, gjenta trinnene i Konfigurer HDS-noden for proxy-integrasjon etter behov for den nye noden. |
| 5 |
Registrer noden. |
Hva du skal gjøre nå
Administrer leietakerorganisasjoner på hybrid datasikkerhet for flere leietakere
Aktiver flerleietaker-HDS på partnerhub
Denne oppgaven sikrer at alle brukere i kundeorganisasjonene kan begynne å utnytte HDS for lokale krypteringsnøkler og andre sikkerhetstjenester.
Før du begynner
Sørg for at du har fullført oppsettet av HDS-klyngen med flere leietakere med det nødvendige antallet noder.
| 1 |
Logg inn på https://admin.webex.com. |
| 2 |
Fra menyen på venstre side av skjermen velger du Tjenester. |
| 3 |
I Hybrid-delen finner du Hybrid datasikkerhet og klikker på Rediger innstillinger. |
| 4 |
Klikk på Aktiver HDS på kortet HDS-status. |
Legg til leietakerorganisasjoner i Partner Hub
I denne oppgaven tilordner du kundeorganisasjoner til din hybride datasikkerhetsklynge.
| 1 |
Logg inn på https://admin.webex.com. |
| 2 |
Fra menyen på venstre side av skjermen velger du Tjenester. |
| 3 |
I Hybrid-delen finner du Hybrid datasikkerhet og klikker på Vis alle. |
| 4 |
Gå til fanen Tildelte kunder. Fanen Tildelte kunder vises ikke før du oppretter en klynge. |
| 5 |
Klikk på Legg til kunder. |
| 6 |
Velg kunden du vil legge til fra rullegardinmenyen. |
| 7 |
Klikk på Legg til, kunden vil bli lagt til i klyngen. |
| 8 |
Gjenta trinn 5 til 7 for å legge til flere kunder i klyngen din. |
| 9 |
Klikk på Ferdig nederst på skjermen når du har lagt til kundene. Kunder som legges til, vil bli synkronisert på tvers av alle tilgjengelige klynger. |
Hva du skal gjøre nå
Opprett kundens hovednøkler (CMK-er) ved hjelp av HDS-oppsettverktøyet
Før du begynner
Tilordne kunder som beskrevet i Legge til leietakerorganisasjoner i partnerhub. Kjør HDS-oppsettverktøyet for å fullføre oppsettprosessen for de nylig tillagte kundeorganisasjonene.
-
HDS-oppsettverktøyet kjører som en Docker-container på en lokal maskin. For å få tilgang til den, kjør Docker på den maskinen. Konfigurasjonsprosessen krever legitimasjonen til en Partner Hub-konto med fulle administratorrettigheter for organisasjonen din.
Hvis HDS-oppsettverktøyet kjører bak en proxy i miljøet ditt, må du oppgi proxy-innstillingene (server, port, legitimasjon) via Docker-miljøvariabler når du åpner Docker-containeren i trinn 5. Denne tabellen viser noen mulige miljøvariabler:
Beskrivelse
Variabel
HTTP-proxy uten autentisering
GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORTHTTPS-proxy uten autentisering
GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORTHTTP-proxy med autentisering
GLOBAL_AGENT_HTTP_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORTHTTPS-proxy med autentisering
GLOBAL_AGENT_HTTPS_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT -
Konfigurasjons-ISO-filen du genererer inneholder hovednøkkelen som krypterer PostgreSQL- eller Microsoft SQL Server-databasen. Du trenger den nyeste kopien av denne filen hver gang du gjør konfigurasjonsendringer, som disse:
-
Databaselegitimasjon
-
Sertifikatoppdateringer
-
Endringer i autorisasjonspolicyen
-
-
Hvis du planlegger å kryptere databasetilkoblinger, må du konfigurere PostgreSQL- eller SQL Server-distribusjonen din for TLS.
Konfigurasjonsprosessen for hybrid datasikkerhet oppretter en ISO-fil. Deretter bruker du ISO-filen til å konfigurere Hybrid Data Security-verten din.
| 1 |
Skriv inn riktig kommando for miljøet ditt på maskinens kommandolinje: I vanlige miljøer: I FedRAMP-miljøer: Dette trinnet rydder opp i tidligere bilder av HDS-oppsettverktøyet. Hvis det ikke finnes noen tidligere bilder, returnerer den en feil som du kan ignorere. |
| 2 |
For å logge på Docker-avbildningsregisteret, skriv inn følgende: |
| 3 |
Ved passordledeteksten skriver du inn denne hashen: |
| 4 |
Last ned det nyeste stabile bildet for miljøet ditt: I vanlige miljøer: I FedRAMP-miljøer: |
| 5 |
Når hentingen er fullført, skriver du inn riktig kommando for miljøet ditt:
Når containeren kjører, ser du «Express-server lytter på port 8080». |
| 6 |
Installasjonsverktøyet støtter ikke tilkobling til localhost via http://localhost:8080. Bruk http://127.0.0.1:8080 for å koble til localhost. Bruk en nettleser til å gå til localhost, Verktøyet bruker denne første oppføringen av brukernavnet til å angi riktig miljø for den kontoen. Verktøyet viser deretter standard påloggingsledetekst. |
| 7 |
Når du blir bedt om det, skriver du inn påloggingsinformasjonen for Partner Hub-administratoren, og klikker deretter på Logg inn for å gi tilgang til de nødvendige tjenestene for Hybrid Data Security. |
| 8 |
På oversiktssiden for oppsettverktøyet klikker du på Kom i gang. |
| 9 |
På siden ISO-import klikker du på Ja. |
| 10 |
Velg ISO-filen din i nettleseren og last den opp. Sørg for tilkobling til databasen din for å utføre CMK-administrasjon. |
| 11 |
Gå til fanen Leietaker-CMK-administrasjon, der du finner følgende tre måter å administrere Leietaker-CMK-er på.
|
| 12 |
Når CMK-opprettelsen er vellykket, endres statusen i tabellen fra CMK-administrasjon venter til CMK-administrert. |
| 13 |
Hvis opprettelsen av CMK mislykkes, vises en feilmelding. |
Fjern leietakerorganisasjoner
Før du begynner
Når den er fjernet, vil ikke brukere av kundeorganisasjoner kunne bruke HDS til sine krypteringsbehov, og de vil miste alle eksisterende plasser. Før du fjerner kundeorganisasjoner, må du kontakte Cisco-partneren eller kontoansvarlig.
| 1 |
Logg inn på https://admin.webex.com. |
| 2 |
Fra menyen på venstre side av skjermen velger du Tjenester. |
| 3 |
I Hybrid-delen finner du Hybrid datasikkerhet og klikker på Vis alle. |
| 4 |
På siden som åpnes, klikk på fanen Tildelte kunder. |
| 5 |
Fra listen over kundeorganisasjoner som vises, klikk på |
Hva du skal gjøre nå
Fullfør fjerningsprosessen ved å tilbakekalle CMK-ene til kundeorganisasjonene som beskrevet i Tilbakekalle CMK-er for leietakere fjernet fra HDS.
Tilbakekall CMK-er for leietakere som er fjernet fra HDS.
Før du begynner
Fjern kunder som beskrevet i Fjern leietakerorganisasjoner. Kjør HDS-oppsettverktøyet for å fullføre fjerningsprosessen for kundeorganisasjonene som ble fjernet.
-
HDS-oppsettverktøyet kjører som en Docker-container på en lokal maskin. For å få tilgang til den, kjør Docker på den maskinen. Konfigurasjonsprosessen krever legitimasjonen til en Partner Hub-konto med fulle administratorrettigheter for organisasjonen din.
Hvis HDS-oppsettverktøyet kjører bak en proxy i miljøet ditt, må du oppgi proxy-innstillingene (server, port, legitimasjon) via Docker-miljøvariabler når du åpner Docker-containeren i trinn 5. Denne tabellen viser noen mulige miljøvariabler:
Beskrivelse
Variabel
HTTP-proxy uten autentisering
GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORTHTTPS-proxy uten autentisering
GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORTHTTP-proxy med autentisering
GLOBAL_AGENT_HTTP_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORTHTTPS-proxy med autentisering
GLOBAL_AGENT_HTTPS_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT -
Konfigurasjons-ISO-filen du genererer inneholder hovednøkkelen som krypterer PostgreSQL- eller Microsoft SQL Server-databasen. Du trenger den nyeste kopien av denne filen hver gang du gjør konfigurasjonsendringer, som disse:
-
Databaselegitimasjon
-
Sertifikatoppdateringer
-
Endringer i autorisasjonspolicyen
-
-
Hvis du planlegger å kryptere databasetilkoblinger, må du konfigurere PostgreSQL- eller SQL Server-distribusjonen din for TLS.
Konfigurasjonsprosessen for hybrid datasikkerhet oppretter en ISO-fil. Deretter bruker du ISO-filen til å konfigurere Hybrid Data Security-verten din.
| 1 |
Skriv inn riktig kommando for miljøet ditt på maskinens kommandolinje: I vanlige miljøer: I FedRAMP-miljøer: Dette trinnet rydder opp i tidligere bilder av HDS-oppsettverktøyet. Hvis det ikke finnes noen tidligere bilder, returnerer den en feil som du kan ignorere. |
| 2 |
For å logge på Docker-avbildningsregisteret, skriv inn følgende: |
| 3 |
Ved passordledeteksten skriver du inn denne hashen: |
| 4 |
Last ned det nyeste stabile bildet for miljøet ditt: I vanlige miljøer: I FedRAMP-miljøer: |
| 5 |
Når hentingen er fullført, skriver du inn riktig kommando for miljøet ditt:
Når containeren kjører, ser du «Express-server lytter på port 8080». |
| 6 |
Installasjonsverktøyet støtter ikke tilkobling til localhost via http://localhost:8080. Bruk http://127.0.0.1:8080 for å koble til localhost. Bruk en nettleser til å gå til localhost, Verktøyet bruker denne første oppføringen av brukernavnet til å angi riktig miljø for den kontoen. Verktøyet viser deretter standard påloggingsledetekst. |
| 7 |
Når du blir bedt om det, skriver du inn påloggingsinformasjonen for Partner Hub-administratoren, og klikker deretter på Logg inn for å gi tilgang til de nødvendige tjenestene for Hybrid Data Security. |
| 8 |
På oversiktssiden for oppsettverktøyet klikker du på Kom i gang. |
| 9 |
På siden ISO-import klikker du på Ja. |
| 10 |
Velg ISO-filen din i nettleseren og last den opp. |
| 11 |
Gå til fanen Leietaker-CMK-administrasjon, der du finner følgende tre måter å administrere leietaker-CMK-er på.
|
| 12 |
Når CMK-tilbakekallingen er vellykket, vil ikke kundeorganisasjonen lenger vises i tabellen. |
| 13 |
Hvis CMK-tilbakekalling mislykkes, vises en feilmelding. |
Test hybrid datasikkerhetsdistribusjonen din
Test din hybride datasikkerhetsimplementering
Før du begynner
-
Konfigurer din hybride datasikkerhetsdistribusjon for flere leietakere.
-
Sørg for at du har tilgang til sysloggen for å bekrefte at nøkkelforespørsler sendes til Multi-Tenant Hybrid Data Security-distribusjonen din.
| 1 |
Nøkler for et gitt område angis av den som har opprettet området. Logg på Webex-appen som en av brukerne i kundeorganisasjonen, og opprett deretter et område. Hvis du deaktiverer distribusjonen av Hybrid Data Security, vil innhold i områder som brukere oppretter ikke lenger være tilgjengelig når de klientbufrede kopiene av krypteringsnøklene er erstattet. |
| 2 |
Send meldinger til det nye rommet. |
| 3 |
Sjekk syslog-utdataene for å bekrefte at nøkkelforespørslene sendes til Hybrid Data Security-distribusjonen din. Hvis en bruker av en nylig tillagt kundeorganisasjon utfører en handling, vil organisasjonens organisasjons-ID vises i loggene, og dette kan brukes til å bekrefte at organisasjonen bruker Multi-Tenant HDS. Sjekk verdien av |
Overvåk hybrid datasikkerhetshelse
| 1 |
I Partnerhubvelger du Tjenester fra menyen på venstre side av skjermen. |
| 2 |
I Hybrid-delen finner du Hybrid datasikkerhet og klikker på Rediger innstillinger. Siden Innstillinger for hybrid datasikkerhet vises.
|
| 3 |
I delen E-postvarsler skriver du inn én eller flere e-postadresser atskilt med komma, og trykker på Enter. |
Administrer HDS-distribusjonen din
Administrer HDS-distribusjon
Bruk oppgavene som er beskrevet her til å administrere hybrid datasikkerhetsdistribusjonen din.
Angi en tidsplan for klyngeoppgradering
Slik angir du oppgraderingsplanen:
| 1 |
Logg inn på Partner Hub. |
| 2 |
Fra menyen på venstre side av skjermen velger du Tjenester. |
| 3 |
I Hybrid-delen finner du Hybrid datasikkerhet og klikker på Konfigurer |
| 4 |
På siden Hybride datasikkerhetsressurser velger du klyngen. |
| 5 |
Klikk på fanen Klyngeinnstillinger. |
| 6 |
På siden Klyngeinnstillinger, under Oppgraderingsplan, velger du klokkeslett og tidssone for oppgraderingsplanen. Merknad: Under tidssonen vises neste tilgjengelige oppgraderingsdato og -klokkeslett. Du kan utsette oppgraderingen til neste dag om nødvendig ved å klikke på Utsett med 24 timer. |
Endre nodekonfigurasjonen
-
Endring av x.509-sertifikater på grunn av utløp eller andre årsaker.
Vi støtter ikke endring av CN-domenenavnet til et sertifikat. Domenet må samsvare med det opprinnelige domenet som ble brukt til å registrere klyngen.
-
Oppdaterer databaseinnstillinger for å endre til en kopi av PostgreSQL- eller Microsoft SQL Server-databasen.
Vi støtter ikke migrering av data fra PostgreSQL til Microsoft SQL Server, eller motsatt vei. For å bytte databasemiljø, start en ny distribusjon av Hybrid Data Security.
-
Oppretter en ny konfigurasjon for å klargjøre et nytt datasenter.
Av sikkerhetshensyn bruker Hybrid Data Security også passord for tjenestekontoer som har en levetid på ni måneder. Etter at HDS-oppsettverktøyet genererer disse passordene, distribuerer du dem til hver av HDS-nodene dine i ISO-konfigurasjonsfilen. Når organisasjonens passord nærmer seg utløpsdatoen, mottar du et varsel fra Webex-teamet om å tilbakestille passordet for maskinkontoen din. (E-posten inneholder teksten «Bruk maskinkonto-API-et til å oppdatere passordet.») Hvis passordene dine ikke er utløpt ennå, gir verktøyet deg to alternativer:
-
Myk tilbakestilling– Både det gamle og det nye passordet fungerer i opptil 10 dager. Bruk denne perioden til å gradvis erstatte ISO-filen på nodene.
-
Hard tilbakestilling– De gamle passordene slutter å virke umiddelbart.
Hvis passordene dine utløper uten tilbakestilling, påvirker det HDS-tjenesten din, og krever en umiddelbar hard tilbakestilling og erstatning av ISO-filen på alle noder.
Bruk denne prosedyren til å generere en ny ISO-konfigurasjonsfil og bruke den på klyngen din.
Før du begynner
-
HDS-oppsettverktøyet kjører som en Docker-container på en lokal maskin. For å få tilgang til den, kjør Docker på den maskinen. Oppsettprosessen krever påloggingsinformasjonen til en Partner Hub-konto med fulle administratorrettigheter for partneren.
Hvis du ikke har en Docker Desktop-lisens, kan du bruke Podman Desktop til å kjøre HDS-oppsettverktøyet for trinn 1.a til 1.e i prosedyren nedenfor. Se Kjør HDS-oppsettverktøyet med Podman Desktop for detaljer.
Hvis HDS-oppsettverktøyet kjører bak en proxy i miljøet ditt, må du oppgi proxy-innstillingene (server, port, legitimasjon) via Docker-miljøvariabler når du åpner Docker-containeren i 1.e. Denne tabellen viser noen mulige miljøvariabler:
Beskrivelse
Variabel
HTTP-proxy uten autentisering
GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORTHTTPS-proxy uten autentisering
GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORTHTTP-proxy med autentisering
GLOBAL_AGENT_HTTP_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORTHTTPS-proxy med autentisering
GLOBAL_AGENT_HTTPS_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT -
Du trenger en kopi av den gjeldende ISO-filen for konfigurasjonen for å generere en ny konfigurasjon. ISO-filen inneholder hovednøkkelen som krypterer PostgreSQL- eller Microsoft SQL Server-databasen. Du trenger ISO-filen når du gjør konfigurasjonsendringer, inkludert databaselegitimasjon, sertifikatoppdateringer eller endringer i autorisasjonspolicyen.
| 1 |
Kjør HDS-oppsettverktøyet ved hjelp av Docker på en lokal maskin. |
| 2 |
Hvis du bare har én HDS-node som kjører, oppretter du en ny virtuell maskin for hybrid datasikkerhetsnoden og registrerer den ved hjelp av den nye ISO-konfigurasjonsfilen. For mer detaljerte instruksjoner, se Opprett og registrer flere noder. |
| 3 |
For eksisterende HDS-noder som kjører den eldre konfigurasjonsfilen, monter ISO-filen. Utfør følgende prosedyre på hver node etter tur, og oppdater hver node før du slår av neste node: |
| 4 |
Gjenta trinn 3 for å erstatte konfigurasjonen på hver gjenværende node som kjører den gamle konfigurasjonen. |
Slå av blokkert ekstern DNS-oppløsningsmodus
Når du registrerer en node eller sjekker nodens proxy-konfigurasjon, tester prosessen DNS-oppslag og tilkobling til Cisco Webex-skyen. Hvis nodens DNS-server ikke kan løse offentlige DNS-navn, går noden automatisk inn i modus for blokkert ekstern DNS-løsning.
Hvis nodene dine kan løse offentlige DNS-navn gjennom interne DNS-servere, kan du slå av denne modusen ved å kjøre proxy-tilkoblingstesten på nytt på hver node.
Før du begynner
| 1 |
I en nettleser åpner du Hybrid Data Security-nodegrensesnittet (IP address/setup, For eksempel, https://192.0.2.0/setup), skriv inn administratorlegitimasjonen du har satt opp for noden, og klikk deretter på Logg på. |
| 2 |
Gå til Oversikt (standardsiden). Når den er aktivert, er Blokkert ekstern DNS-oppløsning satt til Ja. |
| 3 |
Gå til Trust Store & Proxy -side. |
| 4 |
Klikk på Sjekk proxy-tilkobling. Hvis du ser en melding som sier at ekstern DNS-løsning ikke var vellykket, klarte ikke noden å nå DNS-serveren og vil forbli i denne modusen. Ellers, etter at du har startet noden på nytt og går tilbake til siden Oversikt, bør Blokkert ekstern DNS-oppløsning settes til nei. |
Hva du skal gjøre nå
Fjern en node
| 1 |
Bruk VMware vSphere-klienten på datamaskinen din til å logge på den virtuelle ESXi-verten og slå av den virtuelle maskinen. |
| 2 |
Fjern noden: |
| 3 |
Slett den virtuelle maskinen i vSphere-klienten. (I venstre navigasjonsrute høyreklikker du på den virtuelle maskinen og klikker på Slett.) Hvis du ikke sletter den virtuelle maskinen, husk å avmontere konfigurasjons-ISO-filen. Uten ISO-filen kan du ikke bruke den virtuelle maskinen til å få tilgang til sikkerhetsdataene dine. |
Katastrofegjenoppretting ved bruk av standby-datasenter
Den viktigste tjenesten som hybrid datasikkerhetsklyngen din tilbyr, er oppretting og lagring av nøkler som brukes til å kryptere meldinger og annet innhold som er lagret i Webex-skyen. For hver bruker i organisasjonen som er tilordnet Hybrid Data Security, rutes nye forespørsler om nøkkeloppretting til klyngen. Klyngen er også ansvarlig for å returnere nøklene den har opprettet til alle brukere som er autorisert til å hente dem, for eksempel medlemmer av et samtaleområde.
Fordi klyngen utfører den kritiske funksjonen med å levere disse nøklene, er det avgjørende at klyngen forblir i gang og at det vedlikeholdes riktige sikkerhetskopier. Tap av Hybrid Data Security-databasen eller av konfigurasjons-ISO-en som brukes for skjemaet vil føre til UKJENOPPRETTBART TAP av kundeinnhold. Følgende fremgangsmåter er obligatoriske for å forhindre et slikt tap:
Hvis en katastrofe fører til at HDS-distribusjonen i det primære datasenteret blir utilgjengelig, følger du denne prosedyren for å manuelt bytte til reservedatasenteret.
Før du begynner
| 1 |
Start HDS-oppsettverktøyet og følg trinnene som er nevnt i Opprett en konfigurasjons-ISO for HDS-vertene. |
| 2 |
Etter at du har konfigurert Syslogd-serveren, klikker du på Avanserte innstillinger |
| 3 |
På siden Avanserte innstillinger legger du til konfigurasjonen nedenfor eller fjerner
|
| 4 |
Fullfør konfigurasjonsprosessen og lagre ISO-filen på et sted som er lett å finne. |
| 5 |
Lag en sikkerhetskopi av ISO-filen på ditt lokale system. Oppbevar sikkerhetskopien sikkert. Denne filen inneholder en hovedkrypteringsnøkkel for databaseinnholdet. Begrens tilgangen til kun de administratorene for hybrid datasikkerhet som skal gjøre konfigurasjonsendringer. |
| 6 |
I VMware vSphere-klientens venstre navigasjonsrute høyreklikker du på den virtuelle maskinen og klikker på Rediger innstillinger.. |
| 7 |
Klikk på Rediger innstillinger >CD/DVD Stasjon 1 og velg ISO-fil for datalager. Sørg for at Tilkoblet og Koble til ved oppstart er avmerket, slik at oppdaterte konfigurasjonsendringer kan tre i kraft etter at nodene har startet. |
| 8 |
Slå på HDS-noden og sørg for at det ikke er noen alarmer på minst 15 minutter. |
| 9 |
Gjenta prosessen for hver node i standby-datasenteret. Sjekk syslog-utdataene for å bekrefte at nodene i standby-datasenteret ikke er i passiv modus. «KMS konfigurert i passiv modus» skal ikke vises i systemloggene. |
Hva du skal gjøre nå
(Valgfritt) Avmonter ISO etter HDS-konfigurasjon
Standard HDS-konfigurasjonen kjører med ISO montert. Men noen kunder foretrekker å ikke la ISO-filer være kontinuerlig montert. Du kan avmontere ISO-filen etter at alle HDS-nodene har hentet den nye konfigurasjonen.
Du bruker fortsatt ISO-filene til å gjøre konfigurasjonsendringer. Når du oppretter en ny ISO eller oppdaterer en ISO via installasjonsverktøyet, må du montere den oppdaterte ISO-en på alle HDS-nodene dine. Når alle nodene dine har plukket opp konfigurasjonsendringene, kan du avmontere ISO-en igjen med denne prosedyren.
Før du begynner
Oppgrader alle HDS-nodene dine til versjon 2025.06.02.6983 eller nyere.
| 1 |
Slå av en av HDS-nodene dine. |
| 2 |
I vCenter Server Appliance velger du HDS-noden. |
| 3 |
Velg og fjern merket for Datastore ISO-fil. |
| 4 |
Slå på HDS-noden og sørg for at det ikke er noen alarmer på minst 20 minutter. |
| 5 |
Gjenta for hver HDS-node etter tur. |
Feilsøking av hybrid datasikkerhet
Vis varsler og feilsøk
En hybrid datasikkerhetsdistribusjon anses som utilgjengelig hvis alle noder i klyngen ikke kan nås, eller klyngen fungerer så sakte at forespørsler blir tidsavbrutt. Hvis brukere ikke kan nå Hybrid Data Security-klyngen din, opplever de følgende symptomer:
-
Nye mellomrom kan ikke opprettes (kan ikke opprette nye nøkler)
-
Meldinger og romtitler klarer ikke å dekryptere for:
-
Nye brukere lagt til i et rom (kan ikke hente nøkler)
-
Eksisterende brukere i et område som bruker en ny klient (kan ikke hente nøkler)
-
-
Eksisterende brukere i et område vil fortsette å kjøre uten problemer så lenge klientene deres har en hurtigbuffer med krypteringsnøklene
Det er viktig at du overvåker Hybrid Data Security-klyngen din ordentlig og adresserer eventuelle varsler raskt for å unngå avbrudd i tjenesten.
Varsler
Hvis det er et problem med oppsettet av hybrid datasikkerhet, viser Partner Hub varsler til organisasjonsadministratoren og sender e-poster til den konfigurerte e-postadressen. Varslene dekker mange vanlige scenarier.
|
Varsle |
Handling |
|---|---|
|
Tilgangsfeil for lokal database. |
Sjekk for databasefeil eller problemer med det lokale nettverket. |
|
Feil på tilkobling til lokal database. |
Kontroller at databaseserveren er tilgjengelig, og at riktig tjenestekontolegitimasjon ble brukt i nodekonfigurasjonen. |
|
Feil med tilgang til skytjenesten. |
Kontroller at nodene har tilgang til Webex-serverne som angitt i Krav til ekstern tilkobling. |
|
Fornyer registrering av skytjeneste. |
Registrering til skytjenester ble droppet. Fornyelse av registreringen pågår. |
|
Registrering av skytjeneste er fjernet. |
Registrering for skytjenester er avsluttet. Tjenesten stenges ned. |
|
Tjenesten er ikke aktivert ennå. |
Aktiver HDS i Partner Hub. |
|
Det konfigurerte domenet samsvarer ikke med serversertifikatet. |
Sørg for at serversertifikatet ditt samsvarer med det konfigurerte domenet for tjenesteaktivering. Den mest sannsynlige årsaken er at sertifikatets CN nylig ble endret og nå er forskjellig fra CN-en som ble brukt under den første oppsettet. |
|
Kunne ikke autentisere mot skytjenester. |
Sjekk nøyaktighet og mulig utløpsdato for tjenestekontolegitimasjon. |
|
Kunne ikke åpne den lokale nøkkellagerfilen. |
Sjekk integriteten og passordnøyaktigheten på den lokale nøkkellagerfilen. |
|
Det lokale serversertifikatet er ugyldig. |
Sjekk utløpsdatoen for serversertifikatet og bekreft at det ble utstedt av en pålitelig sertifiseringsinstans. |
|
Kan ikke legge ut målinger. |
Sjekk lokal nettverkstilgang til eksterne skytjenester. |
|
/media/configdrive/hds katalogen finnes ikke. |
Sjekk ISO-monteringskonfigurasjonen på den virtuelle verten. Bekreft at ISO-filen finnes, at den er konfigurert til å monteres ved omstart, og at den monteres uten problemer. |
|
Oppsettet av leietakerorganisasjonen er ikke fullført for de tillagte organisasjonene. |
Fullfør oppsettet ved å opprette CMK-er for nylig tillagte leietakerorganisasjoner ved hjelp av HDS Setup Tool. |
|
Oppsettet av leietakerorganisasjonen er ikke fullført for de fjernede organisasjonene. |
Fullfør oppsettet ved å tilbakekalle CMK-er for leietakerorganisasjoner som ble fjernet ved hjelp av HDS Setup Tool. |
Feilsøking av hybrid datasikkerhet
| 1 |
Logg inn på Partner Hub. |
| 2 |
Fra menyen på venstre side av skjermen velger du Tjenester. |
| 3 |
I Hybrid-delen finner du Hybrid datasikkerhet og klikker på Hendelser. |
| 4 |
Se gjennom hendelseshistorikksiden for varsler og fiks eventuelle elementer du finner der. Se bildet nedenfor som referanse. |
| 5 |
Se gjennom syslog-serverutdataene for aktivitet fra Hybrid Data Security-distribusjonen. Filtrer etter ord som «Advarsel» og «Feil» for å hjelpe til med feilsøking. |
| 6 |
Kontakt Cisco-kundestøtte. |
Andre notater
Kjente problemer for hybrid datasikkerhet
-
Hvis du slår av alle dine aktive Hybrid Data Security-klynger (ved å slette dem i Partner Hub eller ved å slå av alle noder), mister konfigurasjons-ISO-filen eller mister tilgang til nøkkellagerdatabasen, kan ikke Webex-appbrukere av kundeorganisasjoner lenger bruke mellomrom under personlisten sin som ble opprettet med nøkler fra KMS-systemet ditt. Vi har for øyeblikket ingen løsning eller løsning på dette problemet, og vi oppfordrer deg til ikke å stenge ned HDS-tjenestene dine når de håndterer aktive brukerkontoer.
-
En klient som har en eksisterende ECDH-tilkobling til et KMS, opprettholder denne tilkoblingen i en periode (sannsynligvis én time).
Kjør HDS Setup-verktøyet med Podman Desktop
Podman er et gratis og åpen kildekode-verktøy for containeradministrasjon som gir en måte å kjøre, administrere og opprette containere på. Podman Desktop kan lastes ned fra https://podman-desktop.io/downloads.
-
HDS-oppsettverktøyet kjører som en Docker-container på en lokal maskin. For å få tilgang til den, last ned og kjør Podman på den maskinen. Konfigurasjonsprosessen krever legitimasjonen til en Control Hub-konto med fulle administratorrettigheter for organisasjonen din.
Hvis HDS-oppsettverktøyet kjører bak en proxy i miljøet ditt, må du oppgi proxy-innstillingene (server, port, legitimasjon) via Docker-miljøvariabler når du åpner Docker-containeren i trinn 5. Denne tabellen viser noen mulige miljøvariabler:
Beskrivelse
Variabel
HTTP-proxy uten autentisering
GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORTHTTPS-proxy uten autentisering
GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORTHTTP-proxy med autentisering
GLOBAL_AGENT_HTTP_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORTHTTPS-proxy med autentisering
GLOBAL_AGENT_HTTPS_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT -
Konfigurasjons-ISO-filen du genererer inneholder hovednøkkelen som krypterer PostgreSQL- eller Microsoft SQL Server-databasen. Du trenger den nyeste kopien av denne filen hver gang du gjør konfigurasjonsendringer, som disse:
-
Databaselegitimasjon
-
Sertifikatoppdateringer
-
Endringer i autorisasjonspolicyen
-
-
Hvis du planlegger å kryptere databasetilkoblinger, må du konfigurere PostgreSQL- eller SQL Server-distribusjonen din for TLS.
Konfigurasjonsprosessen for hybrid datasikkerhet oppretter en ISO-fil. Deretter bruker du ISO-filen til å konfigurere Hybrid Data Security-verten din.
| 1 |
Skriv inn riktig kommando for miljøet ditt på maskinens kommandolinje: I vanlige miljøer: I FedRAMP-miljøer: Dette trinnet rydder opp i tidligere bilder av HDS-oppsettverktøyet. Hvis det ikke finnes noen tidligere bilder, returnerer den en feil som du kan ignorere. |
| 2 |
For å logge på Docker-avbildningsregisteret, skriv inn følgende: |
| 3 |
Ved passordledeteksten skriver du inn denne hashen: |
| 4 |
Last ned det nyeste stabile bildet for miljøet ditt: I vanlige miljøer: I FedRAMP-miljøer: |
| 5 |
Når hentingen er fullført, skriver du inn riktig kommando for miljøet ditt:
Når containeren kjører, ser du «Express-server lytter på port 8080». |
Hva du skal gjøre nå
Flytt den eksisterende HDS-distribusjonen med én leietaker fra en partnerorganisasjon i Control Hub til et HDS-oppsett med flere leietakere i Partner Hub
Konverteringen fra en eksisterende HDS-distribusjon med én leier i en partnerorganisasjon administrert i Control Hub til en HDS-distribusjon med flere leiere administrert i Partner Hub innebærer hovedsakelig å deaktivere HDS-tjenesten i Control Hub, avregistrere noder og slette klyngen. Deretter kan du logge inn på Partner Hub, registrere nodene, aktivere Multi-Tenant HDS og legge til kunder i klyngen din.
Begrepet «enkeltleietaker» refererer ganske enkelt til en eksisterende HDS-distribusjon i Control Hub.
Deaktiver HDS, avregistrer noder og slett alle klynger i Control Hub
| 1 |
Logg inn på Kontrollhub. Klikk på Hybridi venstre rute. Klikk på Rediger innstillingerpå Hybrid Data Security-kortet. |
| 2 |
På innstillingssiden blar du ned til Deaktiver-delen og klikker på Deaktiver. |
| 3 |
Etter deaktivering, klikk på fanen Ressurser. |
| 4 |
Siden Ressurser viser en liste over klynger i HDS-distribusjonen din. Klikk på en klynge, så åpnes en side med alle noder under den klyngen. |
| 5 |
Klikk på |
| 6 |
Hvis distribusjonen din har flere klynger, gjenta trinn 4 og trinn 5 til alle noder er avregistrert. |
| 7 |
Klikk på Klyngeinnstillinger > Fjern. |
| 8 |
Klikk på Bekreft fjerning for å avregistrere klyngen. |
| 9 |
Gjenta prosessen for alle klynger i HDS-distribusjonen din. Etter deaktivering av HDS, avregistrering av noder og fjerning av klynger, vil Hybrid Data Service-kortet på Control Hub ha Oppsettet ikke fullført vist nederst. |
Aktiver Multi-Tenant HDS for partnerorganisasjonen på Partner Hub og legg til kunder
Før du begynner
Alle forutsetningene nevnt i Krav til hybrid datasikkerhet for flere leietakere gjelder her. I tillegg må du sørge for at samme database og sertifikater brukes under overføringen til Multi-Tenant HDS.
| 1 |
Logg inn på Partner Hub. Klikk på Tjenester i venstre rute. Bruk den samme ISO-en fra den forrige HDS-distribusjonen din til å konfigurere nodene. Dette vil sikre at meldinger og innhold generert av brukerne i den forrige eksisterende HDS-distribusjonen fortsatt er tilgjengelig i det nye oppsettet for flere leietakere. |
| 2 |
I Hybrid-delen finner du Hybrid Data Security-kortet og klikker på Konfigurer. |
| 3 |
På siden som åpnes, klikk på Legg til en ressurs. |
| 4 |
I det første feltet på kortet Opprett en klynge skriver du inn et navn på klyngen du vil tilordne Hybrid Data Security-noden til. Vi anbefaler at du navngir en klynge basert på hvor nodene i klyngen befinner seg geografisk. Eksempler: «San Francisco» eller «New York» eller «Dallas» |
| 5 |
I det andre feltet skriver du inn den interne IP-adressen eller det fullstendig kvalifiserte domenenavnet (FQDN) til noden din og klikker på Legg til nederst på skjermen. Denne IP-adressen eller FQDN-en skal samsvare med IP-adressen eller vertsnavnet og domenet du brukte i Konfigurer den hybride virtuelle datamaskinen for datasikkerhet. Det vises en melding som angir at du kan registrere noden din i Webex.
|
| 6 |
Klikk på Gå til node. Etter noen få øyeblikk blir du omdirigert til nodetilkoblingstestene for Webex-tjenester. Hvis alle testene er vellykkede, vises siden Tillat tilgang til hybrid datasikkerhetsnode. Der bekrefter du at du vil gi Webex-organisasjonen din tillatelse til å få tilgang til noden din. |
| 7 |
Merk av i boksen Tillat tilgang til hybrid datasikkerhetsnode, og klikk deretter på Fortsett. Kontoen din er validert, og meldingen «Registrering fullført» indikerer at noden din nå er registrert i Webex Cloud. På siden Hybrid datasikkerhet vises den nye klyngen som inneholder noden du registrerte, under fanen Ressurser. Noden vil automatisk laste ned den nyeste programvaren fra skyen.
|
| 8 |
Gå til fanen Innstillinger og klikk på Aktiver på HDS-statuskortet. Meldingen om aktivert HDS vises nederst på skjermen.
|
| 9 |
Klikk på fanen Tildelte kunder. |
| 10 |
Klikk på Legg til kunder. |
| 11 |
Velg kunden du vil legge til fra rullegardinmenyen. |
| 12 |
Klikk på Legg til, kunden vil bli lagt til i klyngen. |
| 13 |
Gjenta trinn 11 til 13 for å legge til flere kunder i klyngen din. |
| 14 |
Klikk på Ferdig nederst på skjermen når du har lagt til kundene. |
Hva du skal gjøre nå
Bruk OpenSSL til å generere en PKCS12-fil
Før du begynner
-
OpenSSL er et verktøy som kan brukes til å lage PKCS12-filen i riktig format for lasting i HDS Setup Tool. Det finnes andre måter å gjøre dette på, og vi støtter eller fremmer ikke én måte fremfor en annen.
-
Hvis du velger å bruke OpenSSL, tilbyr vi denne prosedyren som en veiledning for å hjelpe deg med å opprette en fil som oppfyller X.509-sertifikatkravene i X.509-sertifikatkrav. Forstå disse kravene før du fortsetter.
-
Installer OpenSSL i et støttet miljø. Se https://www.openssl.org for programvare og dokumentasjon.
-
Opprett en privat nøkkel.
-
Start denne prosedyren når du mottar serversertifikatet fra sertifiseringsinstansen din (CA).
| 1 |
Når du mottar serversertifikatet fra CA-en din, lagrer du det som |
| 2 |
Vis sertifikatet som tekst, og bekreft detaljene.
|
| 3 |
Bruk en teksteditor til å opprette en sertifikatpakkefil kalt
|
| 4 |
Opprett .p12-filen med det egendefinerte navnet
|
| 5 |
Sjekk detaljene for serversertifikatet. |
Hva du skal gjøre nå
Gå tilbake til Fullfør forutsetningene for hybrid datasikkerhet. Du bruker hdsnode.p12 -filen og passordet du har angitt for den i Opprett en konfigurasjons-ISO for HDS-vertene.
Du kan bruke disse filene på nytt for å be om et nytt sertifikat når det opprinnelige sertifikatet utløper.
Trafikk mellom HDS-nodene og skyen
Utgående målinger Innsamling av trafikk
Hybrid datasikkerhetsnodene sender visse målinger til Webex-skyen. Disse inkluderer systemmålinger for heap maks, heap brukt, CPU-belastning og trådantall; målinger på synkrone og asynkrone tråder; målinger på varsler som involverer en terskel for krypteringstilkoblinger, latens eller en forespørselskølengde; målinger på datalageret; og målinger for krypteringstilkoblinger. Nodene sender kryptert nøkkelmateriale over en out-of-band (separat fra forespørselen) kanal.
Innkommende trafikk
Hybride datasikkerhetsnoder mottar følgende typer innkommende trafikk fra Webex-skyen:
-
Krypteringsforespørsler fra klienter, som rutes av krypteringstjenesten
-
Oppgraderinger til nodeprogramvaren
Konfigurer Squid-proxyer for hybrid datasikkerhet
Websocket kan ikke koble til via Squid-proxyen
Squid-proxyer som inspiserer HTTPS-trafikk kan forstyrre etableringen av websocket (wss:)-tilkoblinger som Hybrid Data Security krever. Disse avsnittene gir veiledning om hvordan du konfigurerer ulike versjoner av Squid til å ignorere wss: -trafikk for at tjenestene skal fungere som de skal.
Blekksprut 4 og 5
Legg til on_unsupported_protocol -direktivet i squid.conf:
on_unsupported_protocol tunnel allBlekksprut 3.5.27
Vi testet hybrid datasikkerhet med følgende regler lagt til i squid.conf. Disse reglene kan endres etter hvert som vi utvikler funksjoner og oppdaterer Webex-skyen.
acl wssMercuryConnection ssl::server_name_regex mercury-connection
ssl_bump splice wssMercuryConnection
acl step1 at_step SslBump1
acl step2 at_step SslBump2
acl step3 at_step SslBump3
ssl_bump peek step1 all
ssl_bump stare step2 all
ssl_bump bump step3 allNy og endret informasjon
Ny og endret informasjon
Denne tabellen dekker nye funksjoner eller funksjonalitet, endringer i eksisterende innhold og eventuelle større feil som ble rettet i Distribusjonsveiledningen for hybrid datasikkerhet for flere leietakere.
|
Dato |
Endringer gjort |
|---|---|
|
5. desember 2025 |
|
|
21. november 2025 |
|
|
8. mai 2025 |
|
| 4. mars 2025 |
|
|
30. januar 2025 |
La til SQL Server versjon 2022 i listen over støttede SQL-servere i Krav til databaseserver. |
|
15. januar 2025 |
Lagt til Begrensninger for hybrid datasikkerhet med flere leietakere. |
|
8. januar 2025 |
La til et notat i Utfør første oppsett og last ned installasjonsfiler som sier at det å klikke på Konfigurer på HDS-kortet i Partner Hub er et viktig trinn i installasjonsprosessen. |
|
7. januar 2025 |
Oppdaterte Krav til virtuell vert, Oppgaveflyt for distribusjon av hybrid datasikkerhetog Installer HDS-verten OVA for å vise de nye kravene til ESXi 7.0. |
|
13. desember 2024 |
Først publisert. |
Deaktiver hybrid datasikkerhet for flere leietakere
Oppgaveflyt for deaktivering av HDS for flere leietakere
Følg disse trinnene for å deaktivere HDS med flere leietakere fullstendig.
Før du begynner
| 1 |
Fjern alle kunder fra alle klyngene dine, som nevnt i Fjern leietakerorganisasjoner. |
| 2 |
Tilbakekalle CMK-ene til alle kunder, som nevnt i Tilbakekalle CMK-er for leietakere fjernet fra HDS.. |
| 3 |
Fjern alle noder fra alle klyngene dine, som nevnt i Fjern en node. |
| 4 |
Slett alle klyngene dine fra Partner Hub ved hjelp av én av følgende to metoder.
|
| 5 |
Klikk på fanen Innstillinger på oversiktssiden for hybrid datasikkerhet, og klikk på Deaktiver HDS på HDS-statuskortet. |
Ofte stilte spørsmål
Ofte stilte spørsmål
Q. Lagres CMK-ene og hovednøkkelen i ISO-filen eller i databasen?
EN. Kundens hovednøkler (CMK-er) lagres i databasen og krypteres med hovednøkkelen, som er lagret i ISO-en.
Q. Brukes én nøkkel til å kryptere alle dataene til kundeorganisasjoner?
EN. Nei. Hver kundeorganisasjons data er kryptert med sin egen CMK (kundens hovednøkkel).
Q. Hva skjer hvis jeg deaktiverer HDS fra Partner Hub?
EN. Enkelte operasjoner, som å opprette et lokale og planlegge møter, vil bli påvirket umiddelbart. Eksisterende innhold i rom vil være tilgjengelig inntil den lokale hurtigbufferen utløper. Etter 24 timer vil brukere som administreres av partneren bytte til Cloud KMS, og det kan oppstå problemer med tidligere opprettede områder og én-til-én-områder.
Q. Når CMK-en er generert for en kundeorganisasjon via HDS-oppsettverktøyet, begynner brukerne av kundeorganisasjonen umiddelbart å bruke Multi-Tenant HDS?
EN. Det kan være en maksimal forsinkelse på 24 timer før skybufferen oppdateres.
Q. Hvorfor ser jeg ikke en liste over kunder når jeg klikker på «Legg til kunder»-knappen i Partner Hub?
EN. Dette betyr vanligvis at det ikke finnes noen kundeorganisasjoner som oppfyller Cisco Webex-lisenskravene.
Spørsmål: Hva blir konsekvensen hvis alle HDS-noder stenges ned, eller hvis et nettverksproblem påvirker alle HDS-noder?
EN. Operasjoner som å opprette rom og planlegge møter påvirkes umiddelbart. Eksisterende innhold er bare tilgjengelig inntil den lokale hurtigbufferen utløper.
Q. Er partnerorganisasjonens brukerdata kryptert med hovednøkkelen som ble generert under ISO-opprettelsen?
EN. Ja. For øyeblikket er partnerorganisasjonens brukerdata kryptert med hovednøkkelen. I fremtiden vil partnerorganisasjoner ha partnerspesifikke nøkler, i likhet med kundenes CMK-er.
Spørsmål: Kan partnerorganisasjonen og leietakerorganisasjonene være i forskjellige regioner (for eksempel USA og EU)?
EN. Ja. Partner- og leietakerorganisasjoner kan være lokalisert i forskjellige geografiske regioner.
Spørsmål: Finnes det noen mekanisme for å flytte nøkler tilbake til Cloud KMS?
EN. Det finnes ingen mekanisme for å flytte nøkler tilbake til skyen etter en HDS-distribusjon.
Spørsmål: Kan en partner fortsette å bruke Cloud KMS og utelukkende bruke Multi-Tenant HDS til å administrere kunder?
EN. Nei, dette støttes ikke for øyeblikket. Støtte for denne funksjonaliteten er planlagt for fremtiden.
Spørsmål: Hvordan kan en partner bekrefte at organisasjonen deres bruker Multi-Tenant HDS for kryptering?
EN. Logg inn på Partner Hub. Gå til Tjenester > Hybrid datasikkerhet > Innstillinger . Hvis HDS-status er aktivert, bruker brukere av partnerorganisasjonen samt tildelte kunder HDS med flere leietakere.
Alternativt kan du sjekke sysloggene dine for å bekrefte at HDS er aktivert. Se Test hybrid datasikkerhetsimplementering.
Spørsmål: Finnes det et alternativ til Docker Desktop for å kjøre HDS-oppsettverktøyet?
EN. Ja. Podman Desktop er et åpen kildekode-alternativ til Docker Desktop. Se Kjør HDS-oppsettverktøyet med Podman Desktop.
Q. Hvor mange noder kan jeg distribuere i en HDS-klynge med flere leietakere?
EN. Vi anbefaler minimum to noder og maksimum 1000.
Q. Hva er nettverkskravene som kreves for å sette opp Multi-Tenant HDS?
EN. Se Krav til ekstern tilkobling.
Q. Er Pro Pack for Control Hub et krav for partnerorganisasjoner?
EN. Nei. Pro Pack er ikke et krav for partnerorganisasjoner. Kontakt Cisco-partneren eller kontoansvarlig for å få hjelp med å konfigurere Multi-Tenant HDS.
Spørsmål: Støttes HSM i HDS med flere leietakere?
EN. Nei, for øyeblikket støtter ikke Multi-Tenant HDS HSM.
Q. Kan jeg teste flerbruker-HDS med et selvsignert sertifikat?
EN. Nei. Multi-Tenant HDS krever et sertifikat hentet fra en klarert CA som oppfyller alle kravene nevnt i X.509-sertifikatkrav.
Spørsmål: Er det nødvendig å montere ISO-en hver gang en ny kunde legges til i Partner Hub?
EN. Nei. ISO-en trenger bare å monteres når du endrer ISO-konfigurasjoner. Når du legger til en ny kunde i Partner Hub, må du sørge for at du kan opprette CMK-er ved hjelp av HDS-oppsettverktøyet. Se Opprett kundens hovednøkler (CMK-er) ved hjelp av HDS-oppsettverktøyet.
Q. Etter at Multi-Tenant HDS er distribuert på Partner Hub, begynner brukere av partnerorganisasjonen å bruke lokale KMS for nøkkeladministrasjon?
EN. Brukere vil bare begynne å bruke lokale KMS for nøkkeladministrasjon etter at HDS er aktivert i Partner Hub.
Kom i gang med hybrid datasikkerhet for flere leietakere
Oversikt over hybrid datasikkerhet for flere leietakere
Fra dag én har datasikkerhet vært hovedfokuset i utformingen av Webex-appen. Hjørnesteinen i denne sikkerheten er ende-til-ende-innholdskryptering, aktivert av Webex-appklienter som samhandler med nøkkelhåndteringstjenesten (KMS). KMS-et er ansvarlig for å opprette og administrere kryptografiske nøkler som klienter bruker til å dynamisk kryptere og dekryptere meldinger og filer.
Som standard får alle Webex-appkunder ende-til-ende-kryptering med dynamiske nøkler lagret i sky-KMS, i Ciscos sikkerhetsområde. Hybrid datasikkerhet flytter KMS-systemet og andre sikkerhetsrelaterte funksjoner til bedriftens datasenter, slik at ingen andre enn deg har nøklene til det krypterte innholdet.
Hybrid datasikkerhet for flere leietakere lar organisasjoner utnytte HDS gjennom en pålitelig lokal partner, som kan fungere som en tjenesteleverandør og administrere lokal kryptering og andre sikkerhetstjenester. Dette oppsettet gir partnerorganisasjonen full kontroll over distribusjon og administrasjon av krypteringsnøkler og sikrer at brukerdata fra kundeorganisasjoner er trygge fra ekstern tilgang. Partnerorganisasjoner setter opp HDS-instanser og oppretter HDS-klynger etter behov. Hver instans kan støtte flere kundeorganisasjoner, i motsetning til en vanlig HDS-distribusjon som er begrenset til én enkelt organisasjon.
Dette gjør det også mulig for mindre organisasjoner å utnytte HDS, siden nøkkelhåndteringstjenester og sikkerhetsinfrastruktur som datasentre eies av den pålitelige lokale partneren.
Hvordan hybrid datasikkerhet med flere leietakere gir datasuverenitet og datakontroll
- Brukergenerert innhold er beskyttet mot ekstern tilgang, som fra skytjenesteleverandører.
- Lokale betrodde partnere administrerer krypteringsnøklene til kunder de allerede har et etablert forhold til.
- Mulighet for lokal teknisk støtte, hvis partneren tilbyr dette.
- Støtter møter, meldinger og samtaleinnhold.
Dette dokumentet har som mål å hjelpe partnerorganisasjoner med å sette opp og administrere kunder under et hybrid datasikkerhetssystem for flere leietakere.
Begrensninger ved hybrid datasikkerhet for flere leietakere
- Partnerorganisasjoner må ikke ha noen eksisterende HDS-distribusjon aktiv i Control Hub.
- Leietaker- eller kundeorganisasjoner som ønsker å bli administrert av en partner, må ikke ha noen eksisterende HDS-distribusjon i Control Hub.
- Når Multi-Tenant HDS er distribuert av partneren, begynner alle brukere av kundeorganisasjoner samt brukere av partnerorganisasjonen å bruke Multi-Tenant HDS for sine krypteringstjenester.
Partnerorganisasjonen og kundeorganisasjonene de administrerer vil være på samme Multi-Tenant HDS-distribusjon.
Partnerorganisasjonen vil ikke lenger bruke skybasert KMS etter at Multi-Tenant HDS er distribuert.
- Det finnes ingen mekanisme for å flytte nøkler tilbake til Cloud KMS etter en HDS-distribusjon.
- Administratorroller har visse begrensninger. Se avsnittet nedenfor for detaljer.
Roller i hybrid datasikkerhet med flere leietakere
- Fullstendig partneradministrator – Kan administrere innstillinger for alle kunder som partneren administrerer. Kan også tilordne administratorroller til eksisterende brukere i organisasjonen og tilordne bestemte kunder som skal administreres av partneradministratorer.
- Partneradministrator – Kan administrere innstillinger for kunder som administratoren har klargjort eller som er tilordnet brukeren.
- Full administrator – Administrator for partnerorganisasjonen som er autorisert til å utføre oppgaver som å endre organisasjonsinnstillinger, administrere lisenser og tildele roller.
- Oppsett og administrasjon av komplett HDS for flere leietakere for alle kundeorganisasjoner – Full administratorrettigheter for partnere kreves.
- Administrasjon av tildelte leietakerorganisasjoner - Partneradministrator og fulle administratorrettigheter kreves.
Sikkerhetsrikets arkitektur
Webex-skyarkitekturen skiller ulike typer tjenester inn i separate områder, eller tillitsdomener, som vist nedenfor.
For å forstå hybrid datasikkerhet bedre, la oss først se på dette rene skytilfellet, der Cisco tilbyr alle funksjoner i skyverdenen sin. Identitetstjenesten, det eneste stedet hvor brukere kan bli direkte korrelert med sin personlige informasjon, som for eksempel e-postadresse, er logisk og fysisk atskilt fra sikkerhetsområdet i datasenter B. Begge er igjen atskilt fra området der kryptert innhold til slutt lagres, i datasenter C.
I dette diagrammet er klienten Webex-appen som kjører på en brukers bærbare datamaskin, og som har autentisert seg med identitetstjenesten. Når brukeren skriver en melding som skal sendes til et rom, skjer følgende trinn:
-
Klienten oppretter en sikker forbindelse med nøkkelhåndteringstjenesten (KMS), og ber deretter om en nøkkel for å kryptere meldingen. Den sikre forbindelsen bruker ECDH, og KMS krypterer nøkkelen med en AES-256-hovednøkkel.
-
Meldingen krypteres før den forlater klienten. Klienten sender den til indekseringstjenesten, som oppretter krypterte søkeindekser for å hjelpe til med fremtidige søk etter innholdet.
-
Den krypterte meldingen sendes til samsvarstjenesten for samsvarskontroller.
-
Den krypterte meldingen lagres i lagringsområdet.
Når du distribuerer hybrid datasikkerhet, flytter du sikkerhetsfunksjonene (KMS, indeksering og samsvar) til ditt lokale datasenter. De andre skytjenestene som utgjør Webex (inkludert identitets- og innholdslagring) forblir i Ciscos område.
Samarbeid med andre organisasjoner
Brukere i organisasjonen din kan regelmessig bruke Webex-appen til å samarbeide med eksterne deltakere i andre organisasjoner. Når en av brukerne dine ber om en nøkkel til et område som eies av organisasjonen din (fordi det ble opprettet av en av brukerne dine), sender KMS-systemet ditt nøkkelen til klienten via en ECDH-sikret kanal. Men når en annen organisasjon eier nøkkelen for plassen, ruter KMS-systemet ditt forespørselen ut til Webex-skyen gjennom en separat ECDH-kanal for å hente nøkkelen fra det aktuelle KMS-systemet, og returnerer deretter nøkkelen til brukeren på den opprinnelige kanalen.
KMS-tjenesten som kjører på organisasjon A validerer tilkoblingene til KMS-er i andre organisasjoner ved hjelp av x.509 PKI-sertifikater. Se Klargjør miljøet ditt for detaljer om hvordan du genererer et x.509-sertifikat som skal brukes med din Multi-Tenant Hybrid Data Security-distribusjon.
Forventninger til implementering av hybrid datasikkerhet
En implementering av hybrid datasikkerhet krever betydelig forpliktelse og en bevissthet om risikoene som følger med å eie krypteringsnøkler.
For å implementere hybrid datasikkerhet må du oppgi:
-
Et sikkert datasenter i et land som er et støttet sted for Cisco Webex Teams-abonnementene.
-
Utstyret, programvaren og nettverkstilgangen som er beskrevet i Klargjør miljøet ditt.
Fullstendig tap av enten konfigurasjons-ISO-en du bygger for Hybrid Data Security eller databasen du oppgir, vil føre til tap av nøklene. Nøkkeltap hindrer brukere i å dekryptere plassinnhold og andre krypterte data i Webex-appen. Hvis dette skjer, kan du bygge en ny distribusjon, men bare nytt innhold vil være synlig. For å unngå tap av tilgang til data, må du:
-
Administrer sikkerhetskopiering og gjenoppretting av databasen og konfigurasjons-ISO-en.
-
Vær forberedt på å utføre rask katastrofegjenoppretting hvis en katastrofe inntreffer, for eksempel feil på databasedisken eller datasenterkatastrofe.
Det finnes ingen mekanisme for å flytte nøkler tilbake til skyen etter en HDS-distribusjon.
Høynivåoppsettprosess
Dette dokumentet dekker oppsett og administrasjon av en hybrid datasikkerhetsdistribusjon med flere leietakere:
-
Konfigurer hybrid datasikkerhet– Dette inkluderer å forberede nødvendig infrastruktur og installere hybrid datasikkerhetsprogramvare, bygge en HDS-klynge, legge til leietakerorganisasjoner i klyngen og administrere kundens hovednøkler (CMK-er). Dette vil gjøre det mulig for alle brukere i kundeorganisasjonene dine å bruke hybriddatasikkerhetsklyngen din til sikkerhetsfunksjoner.
Oppsett-, aktiverings- og administrasjonsfasene dekkes i detalj i de neste tre kapitlene.
-
Vedlikehold din hybride datasikkerhetsdistribusjon– Webex-skyen tilbyr automatisk kontinuerlige oppgraderinger. IT-avdelingen din kan tilby støtte på nivå én for denne utrullingen, og engasjere Cisco-støtte etter behov. Du kan bruke varsler på skjermen og konfigurere e-postbaserte varsler i Partner Hub.
-
Forstå vanlige varsler, feilsøkingstrinn og kjente problemer– Hvis du støter på problemer med å distribuere eller bruke Hybrid Data Security, kan det siste kapittelet i denne veiledningen og tillegget om kjente problemer hjelpe deg med å finne og løse problemet.
Hybrid distribusjonsmodell for datasikkerhet
Innenfor bedriftens datasenter distribuerer du Hybrid Data Security som en enkelt klynge av noder på separate virtuelle verter. Nodene kommuniserer med Webex-skyen via sikre websockets og sikker HTTP.
Under installasjonsprosessen gir vi deg OVA-filen for å konfigurere den virtuelle enheten på de virtuelle maskinene du stiller til rådighet. Du bruker HDS-oppsettverktøyet til å opprette en tilpasset ISO-fil for klyngekonfigurasjon som du monterer på hver node. Hybrid Data Security-klyngen bruker den oppgitte Syslogd-serveren og PostgreSQL- eller Microsoft SQL Server-databasen. (Du konfigurerer Syslogd og databasetilkoblingsdetaljene i HDS-oppsettverktøyet.)
Minimum antall noder du kan ha i en klynge er to. Vi anbefaler minst tre per klynge. Å ha flere noder sikrer at tjenesten ikke avbrytes under en programvareoppgradering eller annen vedlikeholdsaktivitet på en node. (Webex-skyen oppgraderer bare én node om gangen.)
Alle noder i en klynge har tilgang til det samme nøkkeldatalageret og logger aktivitet til den samme syslog-serveren. Selve nodene er statsløse og håndterer viktige forespørsler i runde-robin-modus, som anvist av skyen.
Noder blir aktive når du registrerer dem i Partner Hub. For å ta en individuell node ut av drift, kan du avregistrere den og senere registrere den på nytt om nødvendig.
Standby-datasenter for katastrofegjenoppretting
Under utrullingen setter du opp et sikkert reservedatasenter. I tilfelle en datasenterkatastrofe kan du manuelt overføre utrullingen til reservedatasenteret.
Databasene til de aktive og standby-datasentrene er synkroniserte med hverandre, noe som vil minimere tiden det tar å utføre failover.
De aktive Hybrid Data Security-nodene må alltid være i samme datasenter som den aktive databaseserveren.
Sett opp et reservedatasenter for katastrofegjenoppretting
Følg trinnene nedenfor for å konfigurere ISO-filen til standby-datasenteret:
Før du begynner
-
Standby-datasenteret bør speile produksjonsmiljøet til virtuelle maskiner og en sikkerhetskopi av PostgreSQL- eller Microsoft SQL Server-database. Hvis for eksempel produksjonen har 3 virtuelle maskiner som kjører HDS-noder, bør sikkerhetskopieringsmiljøet ha 3 virtuelle maskiner. (Se Standby-datasenter for katastrofegjenoppretting for en oversikt over denne failover-modellen.)
-
Sørg for at databasesynkronisering er aktivert mellom databasen til aktive og passive klyngenoder.
| 1 |
Start HDS-oppsettverktøyet og følg trinnene som er nevnt i Opprett en konfigurasjons-ISO for HDS-vertene. ISO-filen må være en kopi av den originale ISO-filen til det primære datasenteret som følgende konfigurasjonsoppdateringer skal gjøres på. |
| 2 |
Etter at du har konfigurert Syslogd-serveren, klikker du på Avanserte innstillinger |
| 3 |
På siden Avanserte innstillinger legger du til konfigurasjonen nedenfor for å sette noden i passiv modus. I denne modusen vil noden være registrert i organisasjonen og koblet til skyen, men vil ikke håndtere noen trafikk.
|
| 4 |
Fullfør konfigurasjonsprosessen og lagre ISO-filen på et sted som er lett å finne. |
| 5 |
Lag en sikkerhetskopi av ISO-filen på ditt lokale system. Oppbevar sikkerhetskopien sikkert. Denne filen inneholder en hovedkrypteringsnøkkel for databaseinnholdet. Begrens tilgangen til kun de administratorene for hybrid datasikkerhet som skal gjøre konfigurasjonsendringer. |
| 6 |
I VMware vSphere-klientens venstre navigasjonsrute høyreklikker du på den virtuelle maskinen og klikker på Rediger innstillinger.. |
| 7 |
Klikk på Rediger innstillinger >CD/DVD Stasjon 1 og velg Datastore ISO-fil. Sørg for at Tilkoblet og Koble til ved oppstart er avmerket, slik at oppdaterte konfigurasjonsendringer kan tre i kraft etter at nodene har startet. |
| 8 |
Slå på HDS-noden og sørg for at det ikke er noen alarmer på minst 15 minutter. |
| 9 |
Gjenta prosessen for hver node i standby-datasenteret. Sjekk sysloggene for å bekrefte at nodene er i passiv modus. Du skal kunne se meldingen «KMS konfigurert i passiv modus» i sysloggene. |
Hva du skal gjøre nå
Etter at du har konfigurert passiveMode i ISO-filen og lagret den, kan du opprette en ny kopi av ISO-filen uten passiveMode -konfigurasjonen og lagre den på et sikkert sted. Denne kopien av ISO-filen uten passiveMode konfigurert kan bidra til en rask failover-prosess under katastrofegjenoppretting. Se Katastrofegjenoppretting ved bruk av Standby Data Center for den detaljerte failover-prosedyren.
Proxy-støtte
Hybrid datasikkerhet støtter eksplisitte, transparente inspiserende og ikke-inspiserende proxyer. Du kan knytte disse proxy-tjenerne til distribusjonen din, slik at du kan sikre og overvåke trafikk fra bedriften og ut til skyen. Du kan bruke et plattformadministratorgrensesnitt på nodene for sertifikatadministrasjon og for å sjekke den generelle tilkoblingsstatusen etter at du har konfigurert proxyen på nodene.
Hybrid Data Security-nodene støtter følgende proxy-alternativer:
-
Ingen proxy– Standardinnstillingen hvis du ikke bruker HDS-nodeoppsettet Trust Store & Proxy-konfigurasjon for å integrere en proxy. Ingen sertifikatoppdatering er nødvendig.
-
Transparent ikke-inspiserende proxy– Nodene er ikke konfigurert til å bruke en spesifikk proxy-serveradresse og skal ikke kreve noen endringer for å fungere med en ikke-inspiserende proxy. Ingen sertifikatoppdatering er nødvendig.
-
Transparent tunnelering eller inspeksjon av proxy– Nodene er ikke konfigurert til å bruke en spesifikk proxy-serveradresse. Ingen endringer i HTTP- eller HTTPS-konfigurasjonen er nødvendige på nodene. Nodene trenger imidlertid et rotsertifikat slik at de stoler på proxyen. Inspeksjon av proxyer brukes vanligvis av IT for å håndheve retningslinjer for hvilke nettsteder som kan besøkes og hvilke typer innhold som ikke er tillatt. Denne typen proxy dekrypterer all trafikken din (til og med HTTPS).
-
Eksplisitt proxy– Med eksplisitt proxy forteller du HDS-nodene hvilken proxy-server og autentiseringsskjema de skal bruke. For å konfigurere en eksplisitt proxy, må du angi følgende informasjon på hver node:
-
Proxy IP/FQDN– Adresse som kan brukes til å nå proxy-maskinen.
-
Proxy-port– Et portnummer som proxyen bruker til å lytte etter proxy-trafikk.
-
Proxy-protokoll– Avhengig av hva proxy-serveren din støtter, kan du velge mellom følgende protokoller:
-
HTTP – Viser og kontrollerer alle forespørsler som klienten sender.
-
HTTPS – Gir en kanal til serveren. Klienten mottar og validerer serverens sertifikat.
-
-
Autentiseringstype– Velg blant følgende autentiseringstyper:
-
Ingen– Ingen ytterligere autentisering er nødvendig.
Tilgjengelig hvis du velger enten HTTP eller HTTPS som proxy-protokoll.
-
Grunnleggende– Brukes av en HTTP-brukeragent for å oppgi brukernavn og passord når en forespørsel sendes. Bruker Base64-koding.
Tilgjengelig hvis du velger enten HTTP eller HTTPS som proxy-protokoll.
Krever at du oppgir brukernavn og passord på hver node.
-
Sammendrag– Brukes til å bekrefte kontoen før sensitiv informasjon sendes. Bruker en hash-funksjon på brukernavnet og passordet før sending over nettverket.
Bare tilgjengelig hvis du velger HTTPS som proxy-protokoll.
Krever at du oppgir brukernavn og passord på hver node.
-
-
Eksempel på hybride datasikkerhetsnoder og proxy
Dette diagrammet viser et eksempel på en tilkobling mellom Hybrid Data Security, nettverket og en proxy. For proxy-alternativene for transparent inspeksjon og HTTPS-eksplisitt inspeksjon må det samme rotsertifikatet installeres på proxyen og på Hybrid Data Security-nodene.
Blokkert ekstern DNS-oppløsningsmodus (eksplisitte proxy-konfigurasjoner)
Når du registrerer en node eller sjekker nodens proxy-konfigurasjon, tester prosessen DNS-oppslag og tilkobling til Cisco Webex-skyen. I distribusjoner med eksplisitte proxy-konfigurasjoner som ikke tillater ekstern DNS-løsning for interne klienter, går noden automatisk inn i modus for blokkert ekstern DNS-løsning hvis den ikke kan spørre DNS-serverne. I denne modusen kan noderegistrering og andre proxy-tilkoblingstester fortsette.
Forbered miljøet ditt
Krav til hybrid datasikkerhet for flere leietakere
Krav til Cisco Webex-lisens
Slik distribuerer du hybrid datasikkerhet for flere leietakere:
-
Partnerorganisasjoner: Kontakt Cisco-partneren eller kontoansvarlig din, og sørg for at flerleietakerfunksjonen er aktivert.
-
Leietakerorganisasjoner: Du må ha Pro Pack for Cisco Webex Control Hub. (Se https://www.cisco.com/go/pro-pack.)
Krav til Docker-skrivebordet
Før du installerer HDS-nodene dine, trenger du Docker Desktop for å kjøre et installasjonsprogram. Docker har nylig oppdatert lisensmodellen sin. Organisasjonen din kan kreve et betalt abonnement for Docker Desktop. For mer informasjon, se Docker-blogginnlegget « Docker oppdaterer og utvider produktabonnementene våre».
Kunder uten Docker Desktop-lisens kan bruke et åpen kildekode-verktøy for containeradministrasjon som Podman Desktop til å kjøre, administrere og opprette containere. Se Kjør HDS-oppsettverktøyet med Podman Desktop for detaljer.
Krav til X.509-sertifikat
Sertifikatkjeden må oppfylle følgende krav:
|
Behov |
Detaljer |
|---|---|
|
Som standard stoler vi på CA-ene i Mozilla-listen (med unntak av WoSign og StartCom) på https://wiki.mozilla.org/CA:IncludedCAs. |
|
CN-en trenger ikke å være tilgjengelig eller en live vert. Vi anbefaler at du bruker et navn som gjenspeiler organisasjonen din, for eksempel KN-en må ikke inneholde en * (jokertegn). CN-en brukes til å bekrefte hybriddatasikkerhetsnodene til Webex-appklienter. Alle hybriddatasikkerhetsnodene i klyngen din bruker det samme sertifikatet. KMS-systemet ditt identifiserer seg ved hjelp av CN-domenet, ikke et hvilket som helst domene som er definert i x.509v3 SAN-feltene. Når du har registrert en node med dette sertifikatet, støtter vi ikke endring av CN-domenenavnet. |
|
KMS-programvaren støtter ikke SHA1-signaturer for validering av tilkoblinger til andre organisasjoners KMS-er. |
|
Du kan bruke en konverter som OpenSSL for å endre formatet på sertifikatet ditt. Du må oppgi passordet når du kjører HDS-oppsettverktøyet. |
KMS-programvaren håndhever ikke begrensninger for nøkkelbruk eller utvidede nøkkelbruk. Noen sertifikatmyndigheter krever at utvidede begrensninger for nøkkelbruk legges til grunn for hvert sertifikat, for eksempel serverautentisering. Det er greit å bruke serverautentisering eller andre innstillinger.
Krav til virtuelle verter
De virtuelle vertene du skal sette opp som hybride datasikkerhetsnoder i klyngen din, har følgende krav:
-
Minst to separate verter (3 anbefalt) samlokalisert i samme sikre datasenter
-
VMware ESXi 7.0 eller 8.0 installert og kjører.
Du må oppgradere hvis du har en tidligere versjon av ESXi.
-
Minimum 4 vCPU-er, 8 GB hovedminne, 30 GB lokal harddiskplass per server
Krav til databaseserver
Opprett en ny database for nøkkellagring. Ikke bruk standarddatabasen. HDS-applikasjonene oppretter databaseskjemaet når de er installert.
Det finnes to alternativer for databaseserveren. Kravene for hver av dem er som følger:
|
PostgreSQL |
Microsoft SQL Server |
|---|---|
|
|
|
Minimum 8 vCPU-er, 16 GB hovedminne, tilstrekkelig harddiskplass og overvåking for å sikre at den ikke overskrides (2 TB anbefales hvis du vil kjøre databasen over lengre tid uten å måtte øke lagringsplassen) |
Minimum 8 vCPU-er, 16 GB hovedminne, tilstrekkelig harddiskplass og overvåking for å sikre at den ikke overskrides (2 TB anbefales hvis du vil kjøre databasen over lengre tid uten å måtte øke lagringsplassen) |
HDS-programvaren installerer for øyeblikket følgende driverversjoner for kommunikasjon med databaseserveren:
|
PostgreSQL |
Microsoft SQL Server |
|---|---|
|
Postgres JDBC-driver 42.2.5 |
SQL Server JDBC-driver 4.6 Denne driverversjonen støtter SQL Server Always On ( Always On Failover Cluster Instances og Always On tilgjengelighetsgrupper). |
Ytterligere krav for Windows-autentisering mot Microsoft SQL Server
Hvis du vil at HDS-noder skal bruke Windows-autentisering for å få tilgang til nøkkeldatabasen din på Microsoft SQL Server, trenger du følgende konfigurasjon i miljøet ditt:
-
HDS-nodene, Active Directory-infrastrukturen og MS SQL Server må alle synkroniseres med NTP.
-
Windows-kontoen du oppgir til HDS-noder må ha read/write tilgang til databasen.
-
DNS-serverne du tilbyr HDS-noder må kunne løse nøkkeldistribusjonssenteret ditt (KDC).
-
Du kan registrere HDS-databaseforekomsten på Microsoft SQL Server som et Service Principal Name (SPN) i Active Directory. Se Registrer et tjenestehovednavn for Kerberos-tilkoblinger.
HDS-oppsettverktøyet, HDS-startprogrammet og det lokale KMS-systemet må alle bruke Windows-autentisering for å få tilgang til nøkkellagerdatabasen. De bruker detaljene fra ISO-konfigurasjonen din til å konstruere SPN-en når de ber om tilgang med Kerberos-autentisering.
Krav til eksterne tilkoblinger
Konfigurer brannmuren din til å tillate følgende tilkobling for HDS-applikasjonene:
|
Søknad |
Protokoll |
Havn |
Veibeskrivelse fra appen |
Destinasjon |
|---|---|---|---|---|
|
Hybride datasikkerhetsnoder |
TCP |
443 |
Utgående HTTPS og WSS |
|
|
HDS-oppsettverktøy |
TCP |
443 |
Utgående HTTPS |
|
Hybrid Data Security-nodene fungerer med nettverkstilgangsoversettelse (NAT) eller bak en brannmur, så lenge NAT-en eller brannmuren tillater de nødvendige utgående tilkoblingene til domenemålene i den foregående tabellen. For tilkoblinger som går inn til Hybrid Data Security-nodene, skal ingen porter være synlige fra Internett. Innenfor datasenteret ditt trenger klienter tilgang til Hybrid Data Security-nodene på TCP-portene 443 og 22 for administrative formål.
URL-ene for CI-vertene (Common Identity) er regionspesifikke. Dette er de nåværende CI-vertene:
|
Region |
Felles identitetsverts-URL-er |
|---|---|
|
Amerika |
|
|
Den europeiske union |
|
|
Canada |
|
| Singapore |
|
| De forente arabiske emirater |
|
Krav til proxy-server
-
Vi støtter offisielt følgende proxy-løsninger som kan integreres med dine hybride datasikkerhetsnoder.
-
Gjennomsiktig proxy – Cisco Web Security Appliance (WSA).
-
Eksplisitt proxy – blekksprut.
Squid-proxyer som inspiserer HTTPS-trafikk kan forstyrre etableringen av websocket (wss:) forbindelser. For å omgå dette problemet, se Konfigurer Squid-proxyer for hybrid datasikkerhet.
-
-
Vi støtter følgende autentiseringstypekombinasjoner for eksplisitte proxyer:
-
Ingen autentisering med HTTP eller HTTPS
-
Grunnleggende autentisering med HTTP eller HTTPS
-
Digest-autentisering kun med HTTPS
-
-
For en transparent inspiserende proxy eller en eksplisitt HTTPS-proxy må du ha en kopi av proxyens rotsertifikat. Distribusjonsinstruksjonene i denne veiledningen forteller deg hvordan du laster opp kopien til Hybrid Data Security-nodenes klareringslagre.
-
Nettverket som er vert for HDS-nodene må konfigureres til å tvinge utgående TCP-trafikk på port 443 til å rutes gjennom proxyen.
-
Proxyer som inspiserer webtrafikk kan forstyrre web socket-tilkoblinger. Hvis dette problemet oppstår, vil det å omgå (ikke inspisere) trafikk til
wbx2.comogciscospark.comløse problemet.
Fullfør forutsetningene for hybrid datasikkerhet
| 1 |
Sørg for at partnerorganisasjonen din har Multi-Tenant HDS-funksjonen aktivert, og hent legitimasjonen til en konto med partnerrettigheter og fulle administratorrettigheter. Sørg for at Webex-kundeorganisasjonen din er aktivert for Pro Pack for Cisco Webex Control Hub. Kontakt din Cisco-partner eller kontoansvarlige for å få hjelp med denne prosessen. Kundeorganisasjoner skal ikke ha noen eksisterende HDS-distribusjon. |
| 2 |
Velg et domenenavn for HDS-distribusjonen din (for eksempel |
| 3 |
Forbered identiske virtuelle verter som du vil konfigurere som hybride datasikkerhetsnoder i klyngen din. Du trenger minst to separate verter (3 anbefales) samlokalisert i samme sikre datasenter, som oppfyller kravene i Krav til virtuelle verter. |
| 4 |
Klargjør databaseserveren som skal fungere som nøkkeldatalager for klyngen, i henhold til Databaseserverkrav. Databaseserveren må være samlokalisert i det sikre datasenteret med de virtuelle vertene. |
| 5 |
For rask gjenoppretting etter katastrofer, sett opp et sikkerhetskopieringsmiljø i et annet datasenter. Sikkerhetskopieringsmiljøet speiler produksjonsmiljøet til virtuelle maskiner og en sikkerhetskopieringsdatabaseserver. Hvis for eksempel produksjonen har 3 virtuelle maskiner som kjører HDS-noder, bør sikkerhetskopieringsmiljøet ha 3 virtuelle maskiner. |
| 6 |
Konfigurer en syslog-vert for å samle inn logger fra nodene i klyngen. Hent nettverksadressen og syslog-porten (standard er UDP 514). |
| 7 |
Opprett en sikker sikkerhetskopieringspolicy for Hybrid Data Security-nodene, databaseserveren og syslog-verten. For å forhindre uopprettelig datatap må du som et minimum sikkerhetskopiere databasen og ISO-konfigurasjonsfilen som er generert for Hybrid Data Security-nodene. Fordi hybride datasikkerhetsnoder lagrer nøklene som brukes i kryptering og dekryptering av innhold, vil manglende opprettholdelse av en operativ distribusjon føre til UOPPRETTBART TAP av innholdet. Webex-appklienter bufrer nøklene sine, så et driftsavbrudd er kanskje ikke umiddelbart merkbart, men vil bli tydelig over tid. Selv om midlertidige avbrudd er umulige å forhindre, kan de gjenopprettes. Fullstendig tap (ingen sikkerhetskopier tilgjengelig) av enten databasen eller konfigurasjons-ISO-filen vil imidlertid føre til uopprettelige kundedata. Operatørene av Hybrid Data Security-nodene forventes å opprettholde hyppige sikkerhetskopier av databasen og ISO-konfigurasjonsfilen, og være forberedt på å gjenoppbygge Hybrid Data Security-datasenteret hvis det oppstår en katastrofal feil. |
| 8 |
Sørg for at brannmurkonfigurasjonen din tillater tilkobling for hybriddatasikkerhetsnodene dine som beskrevet i Krav til ekstern tilkobling. |
| 9 |
Installer Docker ( https://www.docker.com) på en hvilken som helst lokal maskin som kjører et støttet operativsystem (Microsoft Windows 10 Professional eller Enterprise 64-bit, eller Mac OSX Yosemite 10.10.3 eller nyere) med en nettleser som har tilgang til det på http://127.0.0.1:8080. Du bruker Docker-forekomsten til å laste ned og kjøre HDS Setup Tool, som bygger den lokale konfigurasjonsinformasjonen for alle Hybrid Data Security-nodene. Du trenger kanskje en Docker Desktop-lisens. Se Krav til Docker Desktop for mer informasjon. For å installere og kjøre HDS Setup Tool, må den lokale maskinen ha tilkoblingsmulighetene som er beskrevet i Krav til ekstern tilkobling. |
| 10 |
Hvis du integrerer en proxy med Hybrid Data Security, må du sørge for at den oppfyller Krav til proxyserver. |
Konfigurer en hybrid datasikkerhetsklynge
Oppgaveflyt for distribusjon av hybrid datasikkerhet
| 1 |
Utfør første oppsett og last ned installasjonsfiler Last ned OVA-filen til din lokale maskin for senere bruk. |
| 2 |
Opprett en konfigurasjons-ISO for HDS-vertene Bruk HDS-oppsettverktøyet til å opprette en ISO-konfigurasjonsfil for Hybrid Data Security-nodene. |
| 3 |
Opprett en virtuell maskin fra OVA-filen og utfør den første konfigurasjonen, for eksempel nettverksinnstillinger. Alternativet for å konfigurere nettverksinnstillinger under OVA-distribusjon har blitt testet med ESXi 7.0 og 8.0. Alternativet er kanskje ikke tilgjengelig i tidligere versjoner. |
| 4 |
Konfigurer den hybride virtuelle datamaskinen for datasikkerhet Logg på VM-konsollen og angi påloggingslegitimasjonen. Konfigurer nettverksinnstillingene for noden hvis du ikke konfigurerte dem da OVA-distribusjonen ble utført. |
| 5 |
Last opp og monter HDS-konfigurasjons-ISO-en Konfigurer den virtuelle maskinen fra ISO-konfigurasjonsfilen du opprettet med HDS-oppsettverktøyet. |
| 6 |
Konfigurer HDS-noden for proxy-integrasjon Hvis nettverksmiljøet krever proxy-konfigurasjon, angi hvilken type proxy du vil bruke for noden, og legg til proxy-sertifikatet i klareringslageret om nødvendig. |
| 7 |
Registrer den første noden i klyngen Registrer den virtuelle maskinen med Cisco Webex-skyen som en hybrid datasikkerhetsnode. |
| 8 |
Opprett og registrer flere noder Fullfør klyngeoppsettet. |
| 9 |
Aktiver HDS for flere leietakere på partnerhub. Aktiver HDS og administrer leietakerorganisasjoner på Partner Hub. |
Utfør første oppsett og last ned installasjonsfiler
I denne oppgaven laster du ned en OVA-fil til maskinen din (ikke til serverne du har satt opp som hybride datasikkerhetsnoder). Du bruker denne filen senere i installasjonsprosessen.
| 1 |
Logg på Partner Hub, og klikk deretter på Tjenester. |
| 2 |
I Hybrid-delen finner du kortet for hybrid datasikkerhet, og deretter klikker du på Konfigurer. Det er avgjørende for distribusjonsprosessen å klikke på Konfigurer i Partner Hub. Ikke fortsett med installasjonen uten å fullføre dette trinnet. |
| 3 |
Klikk på Legg til en ressurs og klikk på Last ned .OVA-fil på kortet Installer og konfigurer programvare. Eldre versjoner av programvarepakken (OVA) vil ikke være kompatible med de nyeste oppgraderingene for hybrid datasikkerhet. Dette kan føre til problemer under oppgradering av applikasjonen. Sørg for at du laster ned den nyeste versjonen av OVA-filen. Du kan også laste ned OVA når som helst fra Hjelp -delen. Klikk på . Nedlastingen av OVA-filen begynner automatisk. Lagre filen på en plassering på maskinen din.
|
Opprett en konfigurasjons-ISO for HDS-vertene
Konfigurasjonsprosessen for hybrid datasikkerhet oppretter en ISO-fil. Deretter bruker du ISO-filen til å konfigurere Hybrid Data Security-verten din.
Før du begynner
-
HDS-oppsettverktøyet kjører som en Docker-container på en lokal maskin. For å få tilgang til den, kjør Docker på den maskinen. Oppsettprosessen krever påloggingsinformasjonen til en Partner Hub-konto med fulle administratorrettigheter.
Hvis du ikke har en Docker Desktop-lisens, kan du bruke Podman Desktop til å kjøre HDS-oppsettverktøyet for trinn 1 til 5 i prosedyren nedenfor. Se Kjør HDS-oppsettverktøyet med Podman Desktop for detaljer.
Hvis HDS-oppsettverktøyet kjører bak en proxy i miljøet ditt, må du oppgi proxy-innstillingene (server, port, legitimasjon) via Docker-miljøvariabler når du åpner Docker-containeren i trinn 5 nedenfor. Denne tabellen viser noen mulige miljøvariabler:
Beskrivelse
Variabel
HTTP-proxy uten autentisering
GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORTHTTPS-proxy uten autentisering
GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORTHTTP-proxy med autentisering
GLOBAL_AGENT_HTTP_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORTHTTPS-proxy med autentisering
GLOBAL_AGENT_HTTPS_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT -
Konfigurasjons-ISO-filen du genererer inneholder hovednøkkelen som krypterer PostgreSQL- eller Microsoft SQL Server-databasen. Du trenger den nyeste kopien av denne filen hver gang du gjør konfigurasjonsendringer, som disse:
-
Databaselegitimasjon
-
Sertifikatoppdateringer
-
Endringer i autorisasjonspolicyen
-
-
Hvis du planlegger å kryptere databasetilkoblinger, må du konfigurere PostgreSQL- eller SQL Server-distribusjonen din for TLS.
| 1 |
Skriv inn riktig kommando for miljøet ditt på maskinens kommandolinje: I vanlige miljøer: I FedRAMP-miljøer: Dette trinnet rydder opp i tidligere bilder av HDS-oppsettverktøyet. Hvis det ikke finnes noen tidligere bilder, returnerer den en feil som du kan ignorere. | ||||||||||
| 2 |
For å logge på Docker-avbildningsregisteret, skriv inn følgende: | ||||||||||
| 3 |
Ved passordledeteksten skriver du inn denne hashen: | ||||||||||
| 4 |
Last ned det nyeste stabile bildet for miljøet ditt: I vanlige miljøer: I FedRAMP-miljøer: | ||||||||||
| 5 |
Når hentingen er fullført, skriver du inn riktig kommando for miljøet ditt:
Når containeren kjører, ser du «Express-server lytter på port 8080». | ||||||||||
| 6 |
Installasjonsverktøyet støtter ikke tilkobling til localhost via http://localhost:8080. Bruk http://127.0.0.1:8080 for å koble til localhost. Bruk en nettleser til å gå til localhost, Verktøyet bruker denne første oppføringen av brukernavnet til å angi riktig miljø for den kontoen. Verktøyet viser deretter standard påloggingsledetekst. | ||||||||||
| 7 |
Når du blir bedt om det, skriver du inn påloggingsinformasjonen for Partner Hub-administratoren, og klikker deretter på Logg inn for å gi tilgang til de nødvendige tjenestene for Hybrid Data Security. | ||||||||||
| 8 |
På oversiktssiden for oppsettverktøyet klikker du på Kom i gang. | ||||||||||
| 9 |
På siden ISO-import har du disse alternativene:
| ||||||||||
| 10 |
Sjekk at X.509-sertifikatet ditt oppfyller kravene i Krav til X.509-sertifikat.
| ||||||||||
| 11 |
Skriv inn databaseadressen og kontoen som HDS bruker for å få tilgang til nøkkeldatalageret ditt: | ||||||||||
| 12 |
Velg en TLS-databasetilkoblingsmodus:
Når du laster opp rotsertifikatet (hvis nødvendig) og klikker på Fortsett, tester HDS-oppsettverktøyet TLS-tilkoblingen til databaseserveren. Verktøyet verifiserer også sertifikatsigneren og vertsnavnet, hvis aktuelt. Hvis en test mislykkes, viser verktøyet en feilmelding som beskriver problemet. Du kan velge om du vil ignorere feilen og fortsette med oppsettet. (På grunn av tilkoblingsforskjeller kan HDS-nodene kanskje opprette TLS-tilkoblingen selv om HDS Setup Tool-maskinen ikke kan teste den.) | ||||||||||
| 13 |
På siden Systemlogger konfigurerer du Syslogd-serveren din: | ||||||||||
| 14 |
(Valgfritt) Du kan endre standardverdien for noen databasetilkoblingsparametere i Avanserte innstillinger. Vanligvis er denne parameteren den eneste du kanskje vil endre: | ||||||||||
| 15 |
Klikk på Fortsett på skjermbildet Tilbakestill passord for tjenestekontoer. Passord for tjenestekontoer har en levetid på ni måneder. Bruk denne skjermen når passordene dine nærmer seg utløpsdatoen, eller du vil tilbakestille dem for å ugyldiggjøre tidligere ISO-filer. | ||||||||||
| 16 |
Klikk på Last ned ISO-fil. Lagre filen på et sted som er lett å finne. | ||||||||||
| 17 |
Lag en sikkerhetskopi av ISO-filen på ditt lokale system. Oppbevar sikkerhetskopien sikkert. Denne filen inneholder en hovedkrypteringsnøkkel for databaseinnholdet. Begrens tilgangen til kun de administratorene for hybrid datasikkerhet som skal gjøre konfigurasjonsendringer. | ||||||||||
| 18 |
For å avslutte installasjonsverktøyet, skriv |
Hva du skal gjøre nå
Sikkerhetskopier konfigurasjons-ISO-filen. Du trenger det for å opprette flere noder for gjenoppretting, eller for å gjøre konfigurasjonsendringer. Hvis du mister alle kopiene av ISO-filen, har du også mistet hovednøkkelen. Det er ikke mulig å gjenopprette nøklene fra PostgreSQL- eller Microsoft SQL Server-databasen.
Vi har aldri en kopi av denne nøkkelen, og kan ikke hjelpe deg hvis du mister den.
Installer HDS Host OVA
| 1 |
Bruk VMware vSphere-klienten på datamaskinen din for å logge på den virtuelle ESXi-verten. |
| 2 |
Velg Fil > Distribuer OVF-mal. |
| 3 |
I veiviseren angir du plasseringen til OVA-filen du lastet ned tidligere, og klikker deretter på Neste. |
| 4 |
På siden Velg et navn og en mappe skriver du inn et navn på en virtuell maskin for noden (for eksempel "HDS_Node_1"), velger en plassering der distribusjonen av den virtuelle maskinnoden kan befinne seg, og klikker deretter på Neste. |
| 5 |
På siden Velg en beregningsressurs velger du målberegningsressursen og klikker deretter på Neste. En valideringskontroll kjøres. Når det er ferdig, vises maldetaljene. |
| 6 |
Bekreft maldetaljene og klikk deretter på Neste. |
| 7 |
Hvis du blir bedt om å velge ressurskonfigurasjon på siden Konfigurasjon, klikker du på 4 CPU og deretter på Neste. |
| 8 |
På siden Velg lagring klikker du på Neste for å godta standard diskformat og lagringspolicy for virtuell maskin. |
| 9 |
På siden Velg nettverk velger du nettverksalternativet fra listen over oppføringer for å gi ønsket tilkobling til den virtuelle maskinen. |
| 10 |
På siden Tilpass mal konfigurerer du følgende nettverksinnstillinger:
Hvis du foretrekker det, kan du hoppe over konfigurasjonen av nettverksinnstillingene og følge trinnene i Konfigurer den virtuelle hybriddatasikkerhetsmaskinen for å konfigurere innstillingene fra nodekonsollen. Alternativet for å konfigurere nettverksinnstillinger under OVA-distribusjon har blitt testet med ESXi 7.0 og 8.0. Alternativet er kanskje ikke tilgjengelig i tidligere versjoner. |
| 11 |
Høyreklikk på nodens virtuelle maskin, og velg deretter . Hybrid Data Security-programvaren installeres som gjest på VM-verten. Du er nå klar til å logge på konsollen og konfigurere noden. Feilsøkingstips Du kan oppleve en forsinkelse på noen få minutter før nodecontainerne dukker opp. En melding om en brobrannmur vises på konsollen under første oppstart, og du kan ikke logge på i løpet av denne tiden. |
Konfigurer den hybride virtuelle datamaskinen for datasikkerhet
Bruk denne prosedyren for å logge på Hybrid Data Security-nodens virtuelle konsoll for første gang og angi påloggingslegitimasjonen. Du kan også bruke konsollen til å konfigurere nettverksinnstillingene for noden hvis du ikke konfigurerte dem da OVA-distribusjonen ble utført.
| 1 |
I VMware vSphere-klienten velger du den virtuelle maskinen for hybrid datasikkerhetsnoden og velger fanen Konsoll. VM-en starter opp, og en påloggingsledetekst vises. Hvis påloggingsledeteksten ikke vises, trykk Enter.
|
| 2 |
Bruk følgende standardbrukernavn og passord for å logge på og endre påloggingsinformasjonen: Siden du logger på den virtuelle maskinen for første gang, må du endre administratorpassordet. |
| 3 |
Hvis du allerede har konfigurert nettverksinnstillingene i Installer HDS Host OVA, hopper du over resten av denne prosedyren. Ellers velger du alternativet Rediger konfigurasjon i hovedmenyen. |
| 4 |
Sett opp en statisk konfigurasjon med IP-adresse, maske, gateway og DNS-informasjon. Noden din skal ha en intern IP-adresse og et DNS-navn. DHCP støttes ikke. |
| 5 |
(Valgfritt) Endre vertsnavn, domene eller NTP-server(e) om nødvendig for å samsvare med nettverkspolicyen din. Du trenger ikke å angi domenet slik at det samsvarer med domenet du brukte for å hente X.509-sertifikatet. |
| 6 |
Lagre nettverkskonfigurasjonen og start den virtuelle maskinen på nytt slik at endringene trer i kraft. |
Last opp og monter HDS-konfigurasjons-ISO-en
Før du begynner
Fordi ISO-filen inneholder hovednøkkelen, bør den bare eksponeres ved behov, for tilgang av de virtuelle hybriddatasikkerhetsmaskinene og eventuelle administratorer som måtte trenge å gjøre endringer. Sørg for at bare disse administratorene har tilgang til datalageret.
| 1 |
Last opp ISO-filen fra datamaskinen din: |
| 2 |
Monter ISO-filen: |
Hva du skal gjøre nå
Hvis IT-policyen din krever det, kan du eventuelt avmontere ISO-filen etter at alle nodene dine har plukket opp konfigurasjonsendringene. Se (Valgfritt) Avmonter ISO etter HDS-konfigurasjon for detaljer.
Konfigurer HDS-noden for proxy-integrasjon
Hvis nettverksmiljøet krever en proxy, bruk denne prosedyren for å angi typen proxy du vil integrere med Hybrid Data Security. Hvis du velger en transparent inspeksjonsproxy eller en eksplisitt HTTPS-proxy, kan du bruke nodens grensesnitt til å laste opp og installere rotsertifikatet. Du kan også sjekke proxy-tilkoblingen fra grensesnittet og feilsøke eventuelle problemer.
Før du begynner
-
Se Proxy-støtte for en oversikt over de støttede proxy-alternativene.
| 1 |
Skriv inn URL-adressen for oppsett av HDS-noden |
| 2 |
Gå til Trust Store & Proxy, og velg deretter et alternativ:
Følg de neste trinnene for en transparent inspeksjonsproxy, en eksplisitt HTTP-proxy med grunnleggende autentisering eller en eksplisitt HTTPS-proxy. |
| 3 |
Klikk på Last opp et rotsertifikat eller et sluttenhetssertifikat, og naviger deretter til og velg rotsertifikatet for proxyen. Sertifikatet er lastet opp, men ikke installert ennå, fordi du må starte noden på nytt for å installere sertifikatet. Klikk på vinkelpilen ved siden av sertifikatutstederens navn for å få mer informasjon, eller klikk på Slett hvis du har gjort en feil og vil laste opp filen på nytt. |
| 4 |
Klikk på Sjekk proxy-tilkobling for å teste nettverkstilkoblingen mellom noden og proxyen. Hvis tilkoblingstesten mislykkes, vil du se en feilmelding som viser årsaken og hvordan du kan løse problemet. Hvis du ser en melding som sier at ekstern DNS-løsning ikke var vellykket, klarte ikke noden å nå DNS-serveren. Denne betingelsen er forventet i mange eksplisitte proxy-konfigurasjoner. Du kan fortsette med oppsettet, og noden vil fungere i modus for blokkert ekstern DNS-løsning. Hvis du tror dette er en feil, fullfør disse trinnene, og se deretter Slå av blokkert ekstern DNS-oppløsningsmodus. |
| 5 |
Etter at tilkoblingstesten er bestått, for eksplisitt proxy satt til kun https, slå veksleknappen på Rut alle porter 443/444 https-forespørsler fra denne noden gjennom den eksplisitte proxyen. Denne innstillingen krever 15 sekunder for å tre i kraft. |
| 6 |
Klikk på Installer alle sertifikater i klareringslageret (vises for en eksplisitt HTTPS-proxy eller en transparent inspiserende proxy) eller Start på nytt (vises for en eksplisitt HTTP-proxy), les ledeteksten, og klikk deretter på Installer hvis du er klar. Noden starter på nytt innen få minutter. |
| 7 |
Etter at noden har startet på nytt, logg inn igjen om nødvendig, og åpne deretter siden Oversikt for å sjekke tilkoblingskontrollene og sørge for at de alle har grønn status. Proxy-tilkoblingskontrollen tester bare et underdomene av webex.com. Hvis det er tilkoblingsproblemer, er et vanlig problem at noen av skydomenene som er oppført i installasjonsinstruksjonene, blokkeres av proxy-tjeneren. |
Registrer den første noden i klyngen
Når du registrerer din første node, oppretter du en klynge som noden er tilordnet. En klynge inneholder én eller flere noder som er distribuert for å gi redundans.
Før du begynner
-
Når du har startet registreringen av en node, må du fullføre den innen 60 minutter, ellers må du starte på nytt.
-
Sørg for at eventuelle popup-blokkeringer i nettleseren din er deaktivert, eller at du tillater et unntak for admin.webex.com.
| 1 |
Logg inn på https://admin.webex.com. |
| 2 |
Fra menyen på venstre side av skjermen velger du Tjenester. |
| 3 |
I Hybrid-delen finner du Hybrid Data Security-kortet og klikker på Konfigurer. |
| 4 |
På siden som åpnes, klikk på Legg til en ressurs. |
| 5 |
I det første feltet på kortet Opprett en ny klynge skriver du inn et navn for klyngen du vil tilordne Hybrid Data Security-noden til. Vi anbefaler at du navngir en klynge basert på hvor nodene i klyngen befinner seg geografisk. Eksempler: «San Francisco» eller «New York» eller «Dallas» |
| 6 |
I det andre feltet skriver du inn den interne IP-adressen eller det fullstendig kvalifiserte domenenavnet (FQDN) til noden din og klikker på Legg til nederst på skjermen. Denne IP-adressen eller FQDN-en skal samsvare med IP-adressen eller vertsnavnet og domenet du brukte i Konfigurer den hybride virtuelle datamaskinen for datasikkerhet. Det vises en melding som angir at du kan registrere noden din i Webex.
|
| 7 |
Klikk på Gå til node. Etter noen få øyeblikk blir du omdirigert til nodetilkoblingstestene for Webex-tjenester. Hvis alle testene er vellykkede, vises siden Tillat tilgang til hybrid datasikkerhetsnode. Der bekrefter du at du vil gi Webex-organisasjonen din tillatelse til å få tilgang til noden din. |
| 8 |
Merk av i boksen Tillat tilgang til hybrid datasikkerhetsnode, og klikk deretter på Fortsett. Kontoen din er validert, og meldingen «Registrering fullført» indikerer at noden din nå er registrert i Webex-skyen.
|
| 9 |
Klikk på lenken eller lukk fanen for å gå tilbake til Partner Hub Hybrid Data Security-siden. På siden Hybrid datasikkerhet vises den nye klyngen som inneholder noden du registrerte, under fanen Ressurser. Noden vil automatisk laste ned den nyeste programvaren fra skyen.
|
Opprett og registrer flere noder
Før du begynner
-
Når du har startet registreringen av en node, må du fullføre den innen 60 minutter, ellers må du starte på nytt.
-
Sørg for at eventuelle popup-blokkeringer i nettleseren din er deaktivert, eller at du tillater et unntak for admin.webex.com.
| 1 |
Opprett en ny virtuell maskin fra OVA-en, og gjenta trinnene i Installer HDS Host OVA. |
| 2 |
Konfigurer den første konfigurasjonen på den nye virtuelle maskinen, og gjenta trinnene i Konfigurer den hybride virtuelle maskinen for datasikkerhet. |
| 3 |
Gjenta trinnene i Last opp og monter HDS-konfigurasjons-ISOpå den nye virtuelle maskinen. |
| 4 |
Hvis du konfigurerer en proxy for distribusjonen din, gjenta trinnene i Konfigurer HDS-noden for proxy-integrasjon etter behov for den nye noden. |
| 5 |
Registrer noden. |
Hva du skal gjøre nå
Administrer leietakerorganisasjoner på hybrid datasikkerhet for flere leietakere
Aktiver flerleietaker-HDS på partnerhub
Denne oppgaven sikrer at alle brukere i kundeorganisasjonene kan begynne å utnytte HDS for lokale krypteringsnøkler og andre sikkerhetstjenester.
Før du begynner
Sørg for at du har fullført oppsettet av HDS-klyngen med flere leietakere med det nødvendige antallet noder.
| 1 |
Logg inn på https://admin.webex.com. |
| 2 |
Fra menyen på venstre side av skjermen velger du Tjenester. |
| 3 |
I Hybrid-delen finner du Hybrid datasikkerhet og klikker på Rediger innstillinger. |
| 4 |
Klikk på Aktiver HDS på kortet HDS-status. |
Legg til leietakerorganisasjoner i Partner Hub
I denne oppgaven tilordner du kundeorganisasjoner til din hybride datasikkerhetsklynge.
| 1 |
Logg inn på https://admin.webex.com. |
| 2 |
Fra menyen på venstre side av skjermen velger du Tjenester. |
| 3 |
I Hybrid-delen finner du Hybrid datasikkerhet og klikker på Vis alle. |
| 4 |
Gå til fanen Tildelte kunder. Fanen Tildelte kunder vises ikke før du oppretter en klynge. |
| 5 |
Klikk på Legg til kunder. |
| 6 |
Velg kunden du vil legge til fra rullegardinmenyen. |
| 7 |
Klikk på Legg til, kunden vil bli lagt til i klyngen. |
| 8 |
Gjenta trinn 5 til 7 for å legge til flere kunder i klyngen din. |
| 9 |
Klikk på Ferdig nederst på skjermen når du har lagt til kundene. Kunder som legges til, vil bli synkronisert på tvers av alle tilgjengelige klynger. |
Hva du skal gjøre nå
Opprett kundens hovednøkler (CMK-er) ved hjelp av HDS-oppsettverktøyet
Før du begynner
Tilordne kunder som beskrevet i Legge til leietakerorganisasjoner i partnerhub. Kjør HDS-oppsettverktøyet for å fullføre oppsettprosessen for de nylig tillagte kundeorganisasjonene.
-
HDS-oppsettverktøyet kjører som en Docker-container på en lokal maskin. For å få tilgang til den, kjør Docker på den maskinen. Konfigurasjonsprosessen krever legitimasjonen til en Partner Hub-konto med fulle administratorrettigheter for organisasjonen din.
Hvis HDS-oppsettverktøyet kjører bak en proxy i miljøet ditt, må du oppgi proxy-innstillingene (server, port, legitimasjon) via Docker-miljøvariabler når du åpner Docker-containeren i trinn 5. Denne tabellen viser noen mulige miljøvariabler:
Beskrivelse
Variabel
HTTP-proxy uten autentisering
GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORTHTTPS-proxy uten autentisering
GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORTHTTP-proxy med autentisering
GLOBAL_AGENT_HTTP_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORTHTTPS-proxy med autentisering
GLOBAL_AGENT_HTTPS_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT -
Konfigurasjons-ISO-filen du genererer inneholder hovednøkkelen som krypterer PostgreSQL- eller Microsoft SQL Server-databasen. Du trenger den nyeste kopien av denne filen hver gang du gjør konfigurasjonsendringer, som disse:
-
Databaselegitimasjon
-
Sertifikatoppdateringer
-
Endringer i autorisasjonspolicyen
-
-
Hvis du planlegger å kryptere databasetilkoblinger, må du konfigurere PostgreSQL- eller SQL Server-distribusjonen din for TLS.
Konfigurasjonsprosessen for hybrid datasikkerhet oppretter en ISO-fil. Deretter bruker du ISO-filen til å konfigurere Hybrid Data Security-verten din.
| 1 |
Skriv inn riktig kommando for miljøet ditt på maskinens kommandolinje: I vanlige miljøer: I FedRAMP-miljøer: Dette trinnet rydder opp i tidligere bilder av HDS-oppsettverktøyet. Hvis det ikke finnes noen tidligere bilder, returnerer den en feil som du kan ignorere. |
| 2 |
For å logge på Docker-avbildningsregisteret, skriv inn følgende: |
| 3 |
Ved passordledeteksten skriver du inn denne hashen: |
| 4 |
Last ned det nyeste stabile bildet for miljøet ditt: I vanlige miljøer: I FedRAMP-miljøer: |
| 5 |
Når hentingen er fullført, skriver du inn riktig kommando for miljøet ditt:
Når containeren kjører, ser du «Express-server lytter på port 8080». |
| 6 |
Installasjonsverktøyet støtter ikke tilkobling til localhost via http://localhost:8080. Bruk http://127.0.0.1:8080 for å koble til localhost. Bruk en nettleser til å gå til localhost, Verktøyet bruker denne første oppføringen av brukernavnet til å angi riktig miljø for den kontoen. Verktøyet viser deretter standard påloggingsledetekst. |
| 7 |
Når du blir bedt om det, skriver du inn påloggingsinformasjonen for Partner Hub-administratoren, og klikker deretter på Logg inn for å gi tilgang til de nødvendige tjenestene for Hybrid Data Security. |
| 8 |
På oversiktssiden for oppsettverktøyet klikker du på Kom i gang. |
| 9 |
På siden ISO-import klikker du på Ja. |
| 10 |
Velg ISO-filen din i nettleseren og last den opp. Sørg for tilkobling til databasen din for å utføre CMK-administrasjon. |
| 11 |
Gå til fanen Leietaker-CMK-administrasjon, der du finner følgende tre måter å administrere Leietaker-CMK-er på.
|
| 12 |
Når CMK-opprettelsen er vellykket, endres statusen i tabellen fra CMK-administrasjon venter til CMK-administrert. |
| 13 |
Hvis opprettelsen av CMK mislykkes, vises en feilmelding. |
Fjern leietakerorganisasjoner
Før du begynner
Når den er fjernet, vil ikke brukere av kundeorganisasjoner kunne bruke HDS til sine krypteringsbehov, og de vil miste alle eksisterende plasser. Før du fjerner kundeorganisasjoner, må du kontakte Cisco-partneren eller kontoansvarlig.
| 1 |
Logg inn på https://admin.webex.com. |
| 2 |
Fra menyen på venstre side av skjermen velger du Tjenester. |
| 3 |
I Hybrid-delen finner du Hybrid datasikkerhet og klikker på Vis alle. |
| 4 |
På siden som åpnes, klikk på fanen Tildelte kunder. |
| 5 |
Fra listen over kundeorganisasjoner som vises, klikk på |
Hva du skal gjøre nå
Fullfør fjerningsprosessen ved å tilbakekalle CMK-ene til kundeorganisasjonene som beskrevet i Tilbakekalle CMK-er for leietakere fjernet fra HDS.
Tilbakekall CMK-er for leietakere som er fjernet fra HDS.
Før du begynner
Fjern kunder som beskrevet i Fjern leietakerorganisasjoner. Kjør HDS-oppsettverktøyet for å fullføre fjerningsprosessen for kundeorganisasjonene som ble fjernet.
-
HDS-oppsettverktøyet kjører som en Docker-container på en lokal maskin. For å få tilgang til den, kjør Docker på den maskinen. Konfigurasjonsprosessen krever legitimasjonen til en Partner Hub-konto med fulle administratorrettigheter for organisasjonen din.
Hvis HDS-oppsettverktøyet kjører bak en proxy i miljøet ditt, må du oppgi proxy-innstillingene (server, port, legitimasjon) via Docker-miljøvariabler når du åpner Docker-containeren i trinn 5. Denne tabellen viser noen mulige miljøvariabler:
Beskrivelse
Variabel
HTTP-proxy uten autentisering
GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORTHTTPS-proxy uten autentisering
GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORTHTTP-proxy med autentisering
GLOBAL_AGENT_HTTP_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORTHTTPS-proxy med autentisering
GLOBAL_AGENT_HTTPS_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT -
Konfigurasjons-ISO-filen du genererer inneholder hovednøkkelen som krypterer PostgreSQL- eller Microsoft SQL Server-databasen. Du trenger den nyeste kopien av denne filen hver gang du gjør konfigurasjonsendringer, som disse:
-
Databaselegitimasjon
-
Sertifikatoppdateringer
-
Endringer i autorisasjonspolicyen
-
-
Hvis du planlegger å kryptere databasetilkoblinger, må du konfigurere PostgreSQL- eller SQL Server-distribusjonen din for TLS.
Konfigurasjonsprosessen for hybrid datasikkerhet oppretter en ISO-fil. Deretter bruker du ISO-filen til å konfigurere Hybrid Data Security-verten din.
| 1 |
Skriv inn riktig kommando for miljøet ditt på maskinens kommandolinje: I vanlige miljøer: I FedRAMP-miljøer: Dette trinnet rydder opp i tidligere bilder av HDS-oppsettverktøyet. Hvis det ikke finnes noen tidligere bilder, returnerer den en feil som du kan ignorere. |
| 2 |
For å logge på Docker-avbildningsregisteret, skriv inn følgende: |
| 3 |
Ved passordledeteksten skriver du inn denne hashen: |
| 4 |
Last ned det nyeste stabile bildet for miljøet ditt: I vanlige miljøer: I FedRAMP-miljøer: |
| 5 |
Når hentingen er fullført, skriver du inn riktig kommando for miljøet ditt:
Når containeren kjører, ser du «Express-server lytter på port 8080». |
| 6 |
Installasjonsverktøyet støtter ikke tilkobling til localhost via http://localhost:8080. Bruk http://127.0.0.1:8080 for å koble til localhost. Bruk en nettleser til å gå til localhost, Verktøyet bruker denne første oppføringen av brukernavnet til å angi riktig miljø for den kontoen. Verktøyet viser deretter standard påloggingsledetekst. |
| 7 |
Når du blir bedt om det, skriver du inn påloggingsinformasjonen for Partner Hub-administratoren, og klikker deretter på Logg inn for å gi tilgang til de nødvendige tjenestene for Hybrid Data Security. |
| 8 |
På oversiktssiden for oppsettverktøyet klikker du på Kom i gang. |
| 9 |
På siden ISO-import klikker du på Ja. |
| 10 |
Velg ISO-filen din i nettleseren og last den opp. |
| 11 |
Gå til fanen Leietaker-CMK-administrasjon, der du finner følgende tre måter å administrere leietaker-CMK-er på.
|
| 12 |
Når CMK-tilbakekallingen er vellykket, vil ikke kundeorganisasjonen lenger vises i tabellen. |
| 13 |
Hvis CMK-tilbakekalling mislykkes, vises en feilmelding. |
Test hybrid datasikkerhetsdistribusjonen din
Test din hybride datasikkerhetsimplementering
Før du begynner
-
Konfigurer din hybride datasikkerhetsdistribusjon for flere leietakere.
-
Sørg for at du har tilgang til sysloggen for å bekrefte at nøkkelforespørsler sendes til Multi-Tenant Hybrid Data Security-distribusjonen din.
| 1 |
Nøkler for et gitt område angis av den som har opprettet området. Logg på Webex-appen som en av brukerne i kundeorganisasjonen, og opprett deretter et område. Hvis du deaktiverer distribusjonen av Hybrid Data Security, vil innhold i områder som brukere oppretter ikke lenger være tilgjengelig når de klientbufrede kopiene av krypteringsnøklene er erstattet. |
| 2 |
Send meldinger til det nye rommet. |
| 3 |
Sjekk syslog-utdataene for å bekrefte at nøkkelforespørslene sendes til Hybrid Data Security-distribusjonen din. Hvis en bruker av en nylig tillagt kundeorganisasjon utfører en handling, vil organisasjonens organisasjons-ID vises i loggene, og dette kan brukes til å bekrefte at organisasjonen bruker Multi-Tenant HDS. Sjekk verdien av |
Overvåk hybrid datasikkerhetshelse
| 1 |
I Partnerhubvelger du Tjenester fra menyen på venstre side av skjermen. |
| 2 |
I Hybrid-delen finner du Hybrid datasikkerhet og klikker på Rediger innstillinger. Siden Innstillinger for hybrid datasikkerhet vises.
|
| 3 |
I delen E-postvarsler skriver du inn én eller flere e-postadresser atskilt med komma, og trykker på Enter. |
Administrer HDS-distribusjonen din
Administrer HDS-distribusjon
Bruk oppgavene som er beskrevet her til å administrere hybrid datasikkerhetsdistribusjonen din.
Angi en tidsplan for klyngeoppgradering
Slik angir du oppgraderingsplanen:
| 1 |
Logg inn på Partner Hub. |
| 2 |
Fra menyen på venstre side av skjermen velger du Tjenester. |
| 3 |
I Hybrid-delen finner du Hybrid datasikkerhet og klikker på Konfigurer |
| 4 |
På siden Hybride datasikkerhetsressurser velger du klyngen. |
| 5 |
Klikk på fanen Klyngeinnstillinger. |
| 6 |
På siden Klyngeinnstillinger, under Oppgraderingsplan, velger du klokkeslett og tidssone for oppgraderingsplanen. Merknad: Under tidssonen vises neste tilgjengelige oppgraderingsdato og -klokkeslett. Du kan utsette oppgraderingen til neste dag om nødvendig ved å klikke på Utsett med 24 timer. |
Endre nodekonfigurasjonen
-
Endring av x.509-sertifikater på grunn av utløp eller andre årsaker.
Vi støtter ikke endring av CN-domenenavnet til et sertifikat. Domenet må samsvare med det opprinnelige domenet som ble brukt til å registrere klyngen.
-
Oppdaterer databaseinnstillinger for å endre til en kopi av PostgreSQL- eller Microsoft SQL Server-databasen.
Vi støtter ikke migrering av data fra PostgreSQL til Microsoft SQL Server, eller motsatt vei. For å bytte databasemiljø, start en ny distribusjon av Hybrid Data Security.
-
Oppretter en ny konfigurasjon for å klargjøre et nytt datasenter.
Av sikkerhetshensyn bruker Hybrid Data Security også passord for tjenestekontoer som har en levetid på ni måneder. Etter at HDS-oppsettverktøyet genererer disse passordene, distribuerer du dem til hver av HDS-nodene dine i ISO-konfigurasjonsfilen. Når organisasjonens passord nærmer seg utløpsdatoen, mottar du et varsel fra Webex-teamet om å tilbakestille passordet for maskinkontoen din. (E-posten inneholder teksten «Bruk maskinkonto-API-et til å oppdatere passordet.») Hvis passordene dine ikke er utløpt ennå, gir verktøyet deg to alternativer:
-
Myk tilbakestilling– Både det gamle og det nye passordet fungerer i opptil 10 dager. Bruk denne perioden til å gradvis erstatte ISO-filen på nodene.
-
Hard tilbakestilling– De gamle passordene slutter å virke umiddelbart.
Hvis passordene dine utløper uten tilbakestilling, påvirker det HDS-tjenesten din, og krever en umiddelbar hard tilbakestilling og erstatning av ISO-filen på alle noder.
Bruk denne prosedyren til å generere en ny ISO-konfigurasjonsfil og bruke den på klyngen din.
Før du begynner
-
HDS-oppsettverktøyet kjører som en Docker-container på en lokal maskin. For å få tilgang til den, kjør Docker på den maskinen. Oppsettprosessen krever påloggingsinformasjonen til en Partner Hub-konto med fulle administratorrettigheter for partneren.
Hvis du ikke har en Docker Desktop-lisens, kan du bruke Podman Desktop til å kjøre HDS-oppsettverktøyet for trinn 1.a til 1.e i prosedyren nedenfor. Se Kjør HDS-oppsettverktøyet med Podman Desktop for detaljer.
Hvis HDS-oppsettverktøyet kjører bak en proxy i miljøet ditt, må du oppgi proxy-innstillingene (server, port, legitimasjon) via Docker-miljøvariabler når du åpner Docker-containeren i 1.e. Denne tabellen viser noen mulige miljøvariabler:
Beskrivelse
Variabel
HTTP-proxy uten autentisering
GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORTHTTPS-proxy uten autentisering
GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORTHTTP-proxy med autentisering
GLOBAL_AGENT_HTTP_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORTHTTPS-proxy med autentisering
GLOBAL_AGENT_HTTPS_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT -
Du trenger en kopi av den gjeldende ISO-filen for konfigurasjonen for å generere en ny konfigurasjon. ISO-filen inneholder hovednøkkelen som krypterer PostgreSQL- eller Microsoft SQL Server-databasen. Du trenger ISO-filen når du gjør konfigurasjonsendringer, inkludert databaselegitimasjon, sertifikatoppdateringer eller endringer i autorisasjonspolicyen.
| 1 |
Kjør HDS-oppsettverktøyet ved hjelp av Docker på en lokal maskin. |
| 2 |
Hvis du bare har én HDS-node som kjører, oppretter du en ny virtuell maskin for hybrid datasikkerhetsnoden og registrerer den ved hjelp av den nye ISO-konfigurasjonsfilen. For mer detaljerte instruksjoner, se Opprett og registrer flere noder. |
| 3 |
For eksisterende HDS-noder som kjører den eldre konfigurasjonsfilen, monter ISO-filen. Utfør følgende prosedyre på hver node etter tur, og oppdater hver node før du slår av neste node: |
| 4 |
Gjenta trinn 3 for å erstatte konfigurasjonen på hver gjenværende node som kjører den gamle konfigurasjonen. |
Slå av blokkert ekstern DNS-oppløsningsmodus
Når du registrerer en node eller sjekker nodens proxy-konfigurasjon, tester prosessen DNS-oppslag og tilkobling til Cisco Webex-skyen. Hvis nodens DNS-server ikke kan løse offentlige DNS-navn, går noden automatisk inn i modus for blokkert ekstern DNS-løsning.
Hvis nodene dine kan løse offentlige DNS-navn gjennom interne DNS-servere, kan du slå av denne modusen ved å kjøre proxy-tilkoblingstesten på nytt på hver node.
Før du begynner
| 1 |
I en nettleser åpner du Hybrid Data Security-nodegrensesnittet (IP address/setup, For eksempel, https://192.0.2.0/setup), skriv inn administratorlegitimasjonen du har satt opp for noden, og klikk deretter på Logg på. |
| 2 |
Gå til Oversikt (standardsiden). Når den er aktivert, er Blokkert ekstern DNS-oppløsning satt til Ja. |
| 3 |
Gå til Trust Store & Proxy -side. |
| 4 |
Klikk på Sjekk proxy-tilkobling. Hvis du ser en melding som sier at ekstern DNS-løsning ikke var vellykket, klarte ikke noden å nå DNS-serveren og vil forbli i denne modusen. Ellers, etter at du har startet noden på nytt og går tilbake til siden Oversikt, bør Blokkert ekstern DNS-oppløsning settes til nei. |
Hva du skal gjøre nå
Fjern en node
| 1 |
Bruk VMware vSphere-klienten på datamaskinen din til å logge på den virtuelle ESXi-verten og slå av den virtuelle maskinen. |
| 2 |
Fjern noden: |
| 3 |
Slett den virtuelle maskinen i vSphere-klienten. (I venstre navigasjonsrute høyreklikker du på den virtuelle maskinen og klikker på Slett.) Hvis du ikke sletter den virtuelle maskinen, husk å avmontere konfigurasjons-ISO-filen. Uten ISO-filen kan du ikke bruke den virtuelle maskinen til å få tilgang til sikkerhetsdataene dine. |
Katastrofegjenoppretting ved bruk av standby-datasenter
Den viktigste tjenesten som hybrid datasikkerhetsklyngen din tilbyr, er oppretting og lagring av nøkler som brukes til å kryptere meldinger og annet innhold som er lagret i Webex-skyen. For hver bruker i organisasjonen som er tilordnet Hybrid Data Security, rutes nye forespørsler om nøkkeloppretting til klyngen. Klyngen er også ansvarlig for å returnere nøklene den har opprettet til alle brukere som er autorisert til å hente dem, for eksempel medlemmer av et samtaleområde.
Fordi klyngen utfører den kritiske funksjonen med å levere disse nøklene, er det avgjørende at klyngen forblir i gang og at det vedlikeholdes riktige sikkerhetskopier. Tap av Hybrid Data Security-databasen eller av konfigurasjons-ISO-en som brukes for skjemaet vil føre til UKJENOPPRETTBART TAP av kundeinnhold. Følgende fremgangsmåter er obligatoriske for å forhindre et slikt tap:
Hvis en katastrofe fører til at HDS-distribusjonen i det primære datasenteret blir utilgjengelig, følger du denne prosedyren for å manuelt bytte til reservedatasenteret.
Før du begynner
| 1 |
Start HDS-oppsettverktøyet og følg trinnene som er nevnt i Opprett en konfigurasjons-ISO for HDS-vertene. |
| 2 |
Etter at du har konfigurert Syslogd-serveren, klikker du på Avanserte innstillinger |
| 3 |
På siden Avanserte innstillinger legger du til konfigurasjonen nedenfor eller fjerner
|
| 4 |
Fullfør konfigurasjonsprosessen og lagre ISO-filen på et sted som er lett å finne. |
| 5 |
Lag en sikkerhetskopi av ISO-filen på ditt lokale system. Oppbevar sikkerhetskopien sikkert. Denne filen inneholder en hovedkrypteringsnøkkel for databaseinnholdet. Begrens tilgangen til kun de administratorene for hybrid datasikkerhet som skal gjøre konfigurasjonsendringer. |
| 6 |
I VMware vSphere-klientens venstre navigasjonsrute høyreklikker du på den virtuelle maskinen og klikker på Rediger innstillinger.. |
| 7 |
Klikk på Rediger innstillinger >CD/DVD Stasjon 1 og velg ISO-fil for datalager. Sørg for at Tilkoblet og Koble til ved oppstart er avmerket, slik at oppdaterte konfigurasjonsendringer kan tre i kraft etter at nodene har startet. |
| 8 |
Slå på HDS-noden og sørg for at det ikke er noen alarmer på minst 15 minutter. |
| 9 |
Gjenta prosessen for hver node i standby-datasenteret. Sjekk syslog-utdataene for å bekrefte at nodene i standby-datasenteret ikke er i passiv modus. «KMS konfigurert i passiv modus» skal ikke vises i systemloggene. |
Hva du skal gjøre nå
(Valgfritt) Avmonter ISO etter HDS-konfigurasjon
Standard HDS-konfigurasjonen kjører med ISO montert. Men noen kunder foretrekker å ikke la ISO-filer være kontinuerlig montert. Du kan avmontere ISO-filen etter at alle HDS-nodene har hentet den nye konfigurasjonen.
Du bruker fortsatt ISO-filene til å gjøre konfigurasjonsendringer. Når du oppretter en ny ISO eller oppdaterer en ISO via installasjonsverktøyet, må du montere den oppdaterte ISO-en på alle HDS-nodene dine. Når alle nodene dine har plukket opp konfigurasjonsendringene, kan du avmontere ISO-en igjen med denne prosedyren.
Før du begynner
Oppgrader alle HDS-nodene dine til versjon 2025.06.02.6983 eller nyere.
| 1 |
Slå av en av HDS-nodene dine. |
| 2 |
I vCenter Server Appliance velger du HDS-noden. |
| 3 |
Velg og fjern merket for Datastore ISO-fil. |
| 4 |
Slå på HDS-noden og sørg for at det ikke er noen alarmer på minst 20 minutter. |
| 5 |
Gjenta for hver HDS-node etter tur. |
Feilsøking av hybrid datasikkerhet
Vis varsler og feilsøk
En hybrid datasikkerhetsdistribusjon anses som utilgjengelig hvis alle noder i klyngen ikke kan nås, eller klyngen fungerer så sakte at forespørsler blir tidsavbrutt. Hvis brukere ikke kan nå Hybrid Data Security-klyngen din, opplever de følgende symptomer:
-
Nye mellomrom kan ikke opprettes (kan ikke opprette nye nøkler)
-
Meldinger og romtitler klarer ikke å dekryptere for:
-
Nye brukere lagt til i et rom (kan ikke hente nøkler)
-
Eksisterende brukere i et område som bruker en ny klient (kan ikke hente nøkler)
-
-
Eksisterende brukere i et område vil fortsette å kjøre uten problemer så lenge klientene deres har en hurtigbuffer med krypteringsnøklene
Det er viktig at du overvåker Hybrid Data Security-klyngen din ordentlig og adresserer eventuelle varsler raskt for å unngå avbrudd i tjenesten.
Varsler
Hvis det er et problem med oppsettet av hybrid datasikkerhet, viser Partner Hub varsler til organisasjonsadministratoren og sender e-poster til den konfigurerte e-postadressen. Varslene dekker mange vanlige scenarier.
|
Varsle |
Handling |
|---|---|
|
Tilgangsfeil for lokal database. |
Sjekk for databasefeil eller problemer med det lokale nettverket. |
|
Feil på tilkobling til lokal database. |
Kontroller at databaseserveren er tilgjengelig, og at riktig tjenestekontolegitimasjon ble brukt i nodekonfigurasjonen. |
|
Feil med tilgang til skytjenesten. |
Kontroller at nodene har tilgang til Webex-serverne som angitt i Krav til ekstern tilkobling. |
|
Fornyer registrering av skytjeneste. |
Registrering til skytjenester ble droppet. Fornyelse av registreringen pågår. |
|
Registrering av skytjeneste er fjernet. |
Registrering for skytjenester er avsluttet. Tjenesten stenges ned. |
|
Tjenesten er ikke aktivert ennå. |
Aktiver HDS i Partner Hub. |
|
Det konfigurerte domenet samsvarer ikke med serversertifikatet. |
Sørg for at serversertifikatet ditt samsvarer med det konfigurerte domenet for tjenesteaktivering. Den mest sannsynlige årsaken er at sertifikatets CN nylig ble endret og nå er forskjellig fra CN-en som ble brukt under den første oppsettet. |
|
Kunne ikke autentisere mot skytjenester. |
Sjekk nøyaktighet og mulig utløpsdato for tjenestekontolegitimasjon. |
|
Kunne ikke åpne den lokale nøkkellagerfilen. |
Sjekk integriteten og passordnøyaktigheten på den lokale nøkkellagerfilen. |
|
Det lokale serversertifikatet er ugyldig. |
Sjekk utløpsdatoen for serversertifikatet og bekreft at det ble utstedt av en pålitelig sertifiseringsinstans. |
|
Kan ikke legge ut målinger. |
Sjekk lokal nettverkstilgang til eksterne skytjenester. |
|
/media/configdrive/hds katalogen finnes ikke. |
Sjekk ISO-monteringskonfigurasjonen på den virtuelle verten. Bekreft at ISO-filen finnes, at den er konfigurert til å monteres ved omstart, og at den monteres uten problemer. |
|
Oppsettet av leietakerorganisasjonen er ikke fullført for de tillagte organisasjonene. |
Fullfør oppsettet ved å opprette CMK-er for nylig tillagte leietakerorganisasjoner ved hjelp av HDS Setup Tool. |
|
Oppsettet av leietakerorganisasjonen er ikke fullført for de fjernede organisasjonene. |
Fullfør oppsettet ved å tilbakekalle CMK-er for leietakerorganisasjoner som ble fjernet ved hjelp av HDS Setup Tool. |
Feilsøking av hybrid datasikkerhet
| 1 |
Logg inn på Partner Hub. |
| 2 |
Fra menyen på venstre side av skjermen velger du Tjenester. |
| 3 |
I Hybrid-delen finner du Hybrid datasikkerhet og klikker på Hendelser. |
| 4 |
Se gjennom hendelseshistorikksiden for varsler og fiks eventuelle elementer du finner der. Se bildet nedenfor som referanse. |
| 5 |
Se gjennom syslog-serverutdataene for aktivitet fra Hybrid Data Security-distribusjonen. Filtrer etter ord som «Advarsel» og «Feil» for å hjelpe til med feilsøking. |
| 6 |
Kontakt Cisco-kundestøtte. |
Andre notater
Kjente problemer for hybrid datasikkerhet
-
Hvis du slår av alle dine aktive Hybrid Data Security-klynger (ved å slette dem i Partner Hub eller ved å slå av alle noder), mister konfigurasjons-ISO-filen eller mister tilgang til nøkkellagerdatabasen, kan ikke Webex-appbrukere av kundeorganisasjoner lenger bruke mellomrom under personlisten sin som ble opprettet med nøkler fra KMS-systemet ditt. Vi har for øyeblikket ingen løsning eller løsning på dette problemet, og vi oppfordrer deg til ikke å stenge ned HDS-tjenestene dine når de håndterer aktive brukerkontoer.
-
En klient som har en eksisterende ECDH-tilkobling til et KMS, opprettholder denne tilkoblingen i en periode (sannsynligvis én time).
Kjør HDS Setup-verktøyet med Podman Desktop
Podman er et gratis og åpen kildekode-verktøy for containeradministrasjon som gir en måte å kjøre, administrere og opprette containere på. Podman Desktop kan lastes ned fra https://podman-desktop.io/downloads.
-
HDS-oppsettverktøyet kjører som en Docker-container på en lokal maskin. For å få tilgang til den, last ned og kjør Podman på den maskinen. Konfigurasjonsprosessen krever legitimasjonen til en Control Hub-konto med fulle administratorrettigheter for organisasjonen din.
Hvis HDS-oppsettverktøyet kjører bak en proxy i miljøet ditt, må du oppgi proxy-innstillingene (server, port, legitimasjon) via Docker-miljøvariabler når du åpner Docker-containeren i trinn 5. Denne tabellen viser noen mulige miljøvariabler:
Beskrivelse
Variabel
HTTP-proxy uten autentisering
GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORTHTTPS-proxy uten autentisering
GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORTHTTP-proxy med autentisering
GLOBAL_AGENT_HTTP_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORTHTTPS-proxy med autentisering
GLOBAL_AGENT_HTTPS_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT -
Konfigurasjons-ISO-filen du genererer inneholder hovednøkkelen som krypterer PostgreSQL- eller Microsoft SQL Server-databasen. Du trenger den nyeste kopien av denne filen hver gang du gjør konfigurasjonsendringer, som disse:
-
Databaselegitimasjon
-
Sertifikatoppdateringer
-
Endringer i autorisasjonspolicyen
-
-
Hvis du planlegger å kryptere databasetilkoblinger, må du konfigurere PostgreSQL- eller SQL Server-distribusjonen din for TLS.
Konfigurasjonsprosessen for hybrid datasikkerhet oppretter en ISO-fil. Deretter bruker du ISO-filen til å konfigurere Hybrid Data Security-verten din.
| 1 |
Skriv inn riktig kommando for miljøet ditt på maskinens kommandolinje: I vanlige miljøer: I FedRAMP-miljøer: Dette trinnet rydder opp i tidligere bilder av HDS-oppsettverktøyet. Hvis det ikke finnes noen tidligere bilder, returnerer den en feil som du kan ignorere. |
| 2 |
For å logge på Docker-avbildningsregisteret, skriv inn følgende: |
| 3 |
Ved passordledeteksten skriver du inn denne hashen: |
| 4 |
Last ned det nyeste stabile bildet for miljøet ditt: I vanlige miljøer: I FedRAMP-miljøer: |
| 5 |
Når hentingen er fullført, skriver du inn riktig kommando for miljøet ditt:
Når containeren kjører, ser du «Express-server lytter på port 8080». |
Hva du skal gjøre nå
Flytt den eksisterende HDS-distribusjonen med én leietaker fra en partnerorganisasjon i Control Hub til et HDS-oppsett med flere leietakere i Partner Hub
Konverteringen fra en eksisterende HDS-distribusjon med én leier i en partnerorganisasjon administrert i Control Hub til en HDS-distribusjon med flere leiere administrert i Partner Hub innebærer hovedsakelig å deaktivere HDS-tjenesten i Control Hub, avregistrere noder og slette klyngen. Deretter kan du logge inn på Partner Hub, registrere nodene, aktivere Multi-Tenant HDS og legge til kunder i klyngen din.
Begrepet «enkeltleietaker» refererer ganske enkelt til en eksisterende HDS-distribusjon i Control Hub.
Deaktiver HDS, avregistrer noder og slett alle klynger i Control Hub
| 1 |
Logg inn på Kontrollhub. Klikk på Hybridi venstre rute. Klikk på Rediger innstillingerpå Hybrid Data Security-kortet. |
| 2 |
På innstillingssiden blar du ned til Deaktiver-delen og klikker på Deaktiver. |
| 3 |
Etter deaktivering, klikk på fanen Ressurser. |
| 4 |
Siden Ressurser viser en liste over klynger i HDS-distribusjonen din. Klikk på en klynge, så åpnes en side med alle noder under den klyngen. |
| 5 |
Klikk på |
| 6 |
Hvis distribusjonen din har flere klynger, gjenta trinn 4 og trinn 5 til alle noder er avregistrert. |
| 7 |
Klikk på Klyngeinnstillinger > Fjern. |
| 8 |
Klikk på Bekreft fjerning for å avregistrere klyngen. |
| 9 |
Gjenta prosessen for alle klynger i HDS-distribusjonen din. Etter deaktivering av HDS, avregistrering av noder og fjerning av klynger, vil Hybrid Data Service-kortet på Control Hub ha Oppsettet ikke fullført vist nederst. |
Aktiver Multi-Tenant HDS for partnerorganisasjonen på Partner Hub og legg til kunder
Før du begynner
Alle forutsetningene nevnt i Krav til hybrid datasikkerhet for flere leietakere gjelder her. I tillegg må du sørge for at samme database og sertifikater brukes under overføringen til Multi-Tenant HDS.
| 1 |
Logg inn på Partner Hub. Klikk på Tjenester i venstre rute. Bruk den samme ISO-en fra den forrige HDS-distribusjonen din til å konfigurere nodene. Dette vil sikre at meldinger og innhold generert av brukerne i den forrige eksisterende HDS-distribusjonen fortsatt er tilgjengelig i det nye oppsettet for flere leietakere. |
| 2 |
I Hybrid-delen finner du Hybrid Data Security-kortet og klikker på Konfigurer. |
| 3 |
På siden som åpnes, klikk på Legg til en ressurs. |
| 4 |
I det første feltet på kortet Opprett en klynge skriver du inn et navn på klyngen du vil tilordne Hybrid Data Security-noden til. Vi anbefaler at du navngir en klynge basert på hvor nodene i klyngen befinner seg geografisk. Eksempler: «San Francisco» eller «New York» eller «Dallas» |
| 5 |
I det andre feltet skriver du inn den interne IP-adressen eller det fullstendig kvalifiserte domenenavnet (FQDN) til noden din og klikker på Legg til nederst på skjermen. Denne IP-adressen eller FQDN-en skal samsvare med IP-adressen eller vertsnavnet og domenet du brukte i Konfigurer den hybride virtuelle datamaskinen for datasikkerhet. Det vises en melding som angir at du kan registrere noden din i Webex.
|
| 6 |
Klikk på Gå til node. Etter noen få øyeblikk blir du omdirigert til nodetilkoblingstestene for Webex-tjenester. Hvis alle testene er vellykkede, vises siden Tillat tilgang til hybrid datasikkerhetsnode. Der bekrefter du at du vil gi Webex-organisasjonen din tillatelse til å få tilgang til noden din. |
| 7 |
Merk av i boksen Tillat tilgang til hybrid datasikkerhetsnode, og klikk deretter på Fortsett. Kontoen din er validert, og meldingen «Registrering fullført» indikerer at noden din nå er registrert i Webex Cloud. På siden Hybrid datasikkerhet vises den nye klyngen som inneholder noden du registrerte, under fanen Ressurser. Noden vil automatisk laste ned den nyeste programvaren fra skyen.
|
| 8 |
Gå til fanen Innstillinger og klikk på Aktiver på HDS-statuskortet. Meldingen om aktivert HDS vises nederst på skjermen.
|
| 9 |
Klikk på fanen Tildelte kunder. |
| 10 |
Klikk på Legg til kunder. |
| 11 |
Velg kunden du vil legge til fra rullegardinmenyen. |
| 12 |
Klikk på Legg til, kunden vil bli lagt til i klyngen. |
| 13 |
Gjenta trinn 11 til 13 for å legge til flere kunder i klyngen din. |
| 14 |
Klikk på Ferdig nederst på skjermen når du har lagt til kundene. |
Hva du skal gjøre nå
Bruk OpenSSL til å generere en PKCS12-fil
Før du begynner
-
OpenSSL er et verktøy som kan brukes til å lage PKCS12-filen i riktig format for lasting i HDS Setup Tool. Det finnes andre måter å gjøre dette på, og vi støtter eller fremmer ikke én måte fremfor en annen.
-
Hvis du velger å bruke OpenSSL, tilbyr vi denne prosedyren som en veiledning for å hjelpe deg med å opprette en fil som oppfyller X.509-sertifikatkravene i X.509-sertifikatkrav. Forstå disse kravene før du fortsetter.
-
Installer OpenSSL i et støttet miljø. Se https://www.openssl.org for programvare og dokumentasjon.
-
Opprett en privat nøkkel.
-
Start denne prosedyren når du mottar serversertifikatet fra sertifiseringsinstansen din (CA).
| 1 |
Når du mottar serversertifikatet fra CA-en din, lagrer du det som |
| 2 |
Vis sertifikatet som tekst, og bekreft detaljene.
|
| 3 |
Bruk en teksteditor til å opprette en sertifikatpakkefil kalt
|
| 4 |
Opprett .p12-filen med det egendefinerte navnet
|
| 5 |
Sjekk detaljene for serversertifikatet. |
Hva du skal gjøre nå
Gå tilbake til Fullfør forutsetningene for hybrid datasikkerhet. Du bruker hdsnode.p12 -filen og passordet du har angitt for den i Opprett en konfigurasjons-ISO for HDS-vertene.
Du kan bruke disse filene på nytt for å be om et nytt sertifikat når det opprinnelige sertifikatet utløper.
Trafikk mellom HDS-nodene og skyen
Utgående målinger Innsamling av trafikk
Hybrid datasikkerhetsnodene sender visse målinger til Webex-skyen. Disse inkluderer systemmålinger for heap maks, heap brukt, CPU-belastning og trådantall; målinger på synkrone og asynkrone tråder; målinger på varsler som involverer en terskel for krypteringstilkoblinger, latens eller en forespørselskølengde; målinger på datalageret; og målinger for krypteringstilkoblinger. Nodene sender kryptert nøkkelmateriale over en out-of-band (separat fra forespørselen) kanal.
Innkommende trafikk
Hybride datasikkerhetsnoder mottar følgende typer innkommende trafikk fra Webex-skyen:
-
Krypteringsforespørsler fra klienter, som rutes av krypteringstjenesten
-
Oppgraderinger til nodeprogramvaren
Konfigurer Squid-proxyer for hybrid datasikkerhet
Websocket kan ikke koble til via Squid-proxyen
Squid-proxyer som inspiserer HTTPS-trafikk kan forstyrre etableringen av websocket (wss:)-tilkoblinger som Hybrid Data Security krever. Disse avsnittene gir veiledning om hvordan du konfigurerer ulike versjoner av Squid til å ignorere wss: -trafikk for at tjenestene skal fungere som de skal.
Blekksprut 4 og 5
Legg til on_unsupported_protocol -direktivet i squid.conf:
on_unsupported_protocol tunnel allBlekksprut 3.5.27
Vi testet hybrid datasikkerhet med følgende regler lagt til i squid.conf. Disse reglene kan endres etter hvert som vi utvikler funksjoner og oppdaterer Webex-skyen.
acl wssMercuryConnection ssl::server_name_regex mercury-connection
ssl_bump splice wssMercuryConnection
acl step1 at_step SslBump1
acl step2 at_step SslBump2
acl step3 at_step SslBump3
ssl_bump peek step1 all
ssl_bump stare step2 all
ssl_bump bump step3 allNy og endret informasjon
Denne tabellen dekker nye funksjoner eller funksjonalitet, endringer i eksisterende innhold og eventuelle større feil som ble rettet i Distribusjonsveiledningen for hybrid datasikkerhet for flere leietakere.
|
Dato |
Endringer gjort |
|---|---|
| 1. juni 2026 |
|
| 16. april 2026 |
|
| 25. mars 2026 |
|
|
5. desember 2025 |
|
|
21. november 2025 |
|
|
8. mai 2025 |
|
| 4. mars 2025 |
|
|
30. januar 2025 |
La til SQL Server versjon 2022 i listen over støttede SQL-servere i Krav til databaseserver. |
|
15. januar 2025 |
Lagt til Begrensninger for hybrid datasikkerhet med flere leietakere. |
|
8. januar 2025 |
La til et notat i Utfør første oppsett og last ned installasjonsfiler som sier at det å klikke på Konfigurer på HDS-kortet i Partner Hub er et viktig trinn i installasjonsprosessen. |
|
7. januar 2025 |
Oppdaterte Krav til virtuell vert, Oppgaveflyt for distribusjon av hybrid datasikkerhetog Installer HDS-verten OVA for å vise de nye kravene til ESXi 7.0. |
|
13. desember 2024 |
Først publisert. |
Oppgaveflyt for deaktivering av HDS for flere leietakere
Følg disse trinnene for å deaktivere HDS med flere leietakere fullstendig.
Før du begynner
| 1 |
Fjern alle kunder fra alle klyngene dine, som nevnt i Fjern leietakerorganisasjoner. |
| 2 |
Tilbakekalle CMK-ene til alle kunder, som nevnt i Tilbakekalle CMK-er for leietakere fjernet fra HDS.. |
| 3 |
Fjern alle noder fra alle klyngene dine, som nevnt i Fjern en node. |
| 4 |
Slett alle klyngene dine fra Partner Hub ved hjelp av én av følgende to metoder.
|
| 5 |
Klikk på fanen Innstillinger på oversiktssiden for hybrid datasikkerhet, og klikk på Deaktiver HDS på HDS-statuskortet. |
Ofte stilte spørsmål
Q. Lagres CMK-ene og hovednøkkelen i ISO-filen eller i databasen?
EN. Kundens hovednøkler (CMK-er) lagres i databasen og krypteres med hovednøkkelen, som er lagret i ISO-en.
Q. Brukes én nøkkel til å kryptere alle dataene til kundeorganisasjoner?
EN. Nei. Hver kundeorganisasjons data er kryptert med sin egen CMK (kundens hovednøkkel).
Q. Hva skjer hvis jeg deaktiverer HDS fra Partner Hub?
EN. Enkelte operasjoner, som å opprette et lokale og planlegge møter, vil bli påvirket umiddelbart. Eksisterende innhold i rom vil være tilgjengelig inntil den lokale hurtigbufferen utløper. Etter 24 timer vil brukere som administreres av partneren bytte til Cloud KMS, og det kan oppstå problemer med tidligere opprettede områder og én-til-én-områder.
Q. Når CMK-en er generert for en kundeorganisasjon via HDS-oppsettverktøyet, begynner brukerne av kundeorganisasjonen umiddelbart å bruke Multi-Tenant HDS?
EN. Det kan være en maksimal forsinkelse på 24 timer før skybufferen oppdateres.
Q. Hvorfor ser jeg ikke en liste over kunder når jeg klikker på «Legg til kunder»-knappen i Partner Hub?
EN. Dette betyr vanligvis at det ikke finnes noen kundeorganisasjoner som oppfyller Cisco Webex-lisenskravene.
Spørsmål: Hva blir konsekvensen hvis alle HDS-noder stenges ned, eller hvis et nettverksproblem påvirker alle HDS-noder?
EN. Operasjoner som å opprette rom og planlegge møter påvirkes umiddelbart. Eksisterende innhold er bare tilgjengelig inntil den lokale hurtigbufferen utløper.
Q. Er partnerorganisasjonens brukerdata kryptert med hovednøkkelen som ble generert under ISO-opprettelsen?
EN. Ja. For øyeblikket er partnerorganisasjonens brukerdata kryptert med hovednøkkelen. I fremtiden vil partnerorganisasjoner ha partnerspesifikke nøkler, i likhet med kundenes CMK-er.
Spørsmål: Kan partnerorganisasjonen og leietakerorganisasjonene være i forskjellige regioner (for eksempel USA og EU)?
EN. Ja. Partner- og leietakerorganisasjoner kan være lokalisert i forskjellige geografiske regioner.
Spørsmål: Finnes det noen mekanisme for å flytte nøkler tilbake til Cloud KMS?
EN. Det finnes ingen mekanisme for å flytte nøkler tilbake til skyen etter en HDS-distribusjon.
Spørsmål: Kan en partner fortsette å bruke Cloud KMS og utelukkende bruke Multi-Tenant HDS til å administrere kunder?
EN. Nei, dette støttes ikke for øyeblikket. Støtte for denne funksjonaliteten er planlagt for fremtiden.
Spørsmål: Hvordan kan en partner bekrefte at organisasjonen deres bruker Multi-Tenant HDS for kryptering?
EN. Logg inn på Partner Hub. Gå til Tjenester > Hybrid datasikkerhet > Innstillinger . Hvis HDS-status er aktivert, bruker brukere av partnerorganisasjonen samt tildelte kunder HDS med flere leietakere.
Alternativt kan du sjekke sysloggene dine for å bekrefte at HDS er aktivert. Se Test hybrid datasikkerhetsimplementering.
Spørsmål: Finnes det et alternativ til Docker Desktop for å kjøre HDS-oppsettverktøyet?
EN. Ja. Podman Desktop er et åpen kildekode-alternativ til Docker Desktop. Se Kjør HDS-oppsettverktøyet med Podman Desktop.
Q. Hvor mange noder kan jeg distribuere i en HDS-klynge med flere leietakere?
EN. Vi anbefaler minimum to noder og maksimum 1000.
Q. Hva er nettverkskravene som kreves for å sette opp Multi-Tenant HDS?
EN. Se Krav til ekstern tilkobling.
Q. Er Pro Pack for Control Hub et krav for partnerorganisasjoner?
EN. Nei. Pro Pack er ikke et krav for partnerorganisasjoner. Kontakt Cisco-partneren eller kontoansvarlig for å få hjelp med å konfigurere Multi-Tenant HDS.
Spørsmål: Støttes HSM i HDS med flere leietakere?
EN. Nei, for øyeblikket støtter ikke Multi-Tenant HDS HSM.
Q. Kan jeg teste flerbruker-HDS med et selvsignert sertifikat?
EN. Nei. Multi-Tenant HDS krever et sertifikat hentet fra en klarert CA som oppfyller alle kravene nevnt i X.509-sertifikatkrav.
Spørsmål: Er det nødvendig å montere ISO-en hver gang en ny kunde legges til i Partner Hub?
EN. Nei. ISO-en trenger bare å monteres når du endrer ISO-konfigurasjoner. Når du legger til en ny kunde i Partner Hub, må du sørge for at du kan opprette CMK-er ved hjelp av HDS-oppsettverktøyet. Se Opprett kundens hovednøkler (CMK-er) ved hjelp av HDS-oppsettverktøyet.
Q. Etter at Multi-Tenant HDS er distribuert på Partner Hub, begynner brukere av partnerorganisasjonen å bruke lokale KMS for nøkkeladministrasjon?
EN. Brukere vil bare begynne å bruke lokale KMS for nøkkeladministrasjon etter at HDS er aktivert i Partner Hub.
Oversikt over hybrid datasikkerhet for flere leietakere
Fra dag én har datasikkerhet vært hovedfokuset i utformingen av Webex-appen. Hjørnesteinen i denne sikkerheten er ende-til-ende-innholdskryptering, aktivert av Webex-appklienter som samhandler med nøkkelhåndteringstjenesten (KMS). KMS-et er ansvarlig for å opprette og administrere kryptografiske nøkler som klienter bruker til å dynamisk kryptere og dekryptere meldinger og filer.
Som standard får alle Webex-appkunder ende-til-ende-kryptering med dynamiske nøkler lagret i sky-KMS, i Ciscos sikkerhetsområde. Hybrid datasikkerhet flytter KMS-systemet og andre sikkerhetsrelaterte funksjoner til bedriftens datasenter, slik at ingen andre enn deg har nøklene til det krypterte innholdet.
Hybrid datasikkerhet for flere leietakere lar organisasjoner utnytte HDS gjennom en pålitelig lokal partner, som kan fungere som en tjenesteleverandør og administrere lokal kryptering og andre sikkerhetstjenester. Dette oppsettet gir partnerorganisasjonen full kontroll over distribusjon og administrasjon av krypteringsnøkler og sikrer at brukerdata fra kundeorganisasjoner er trygge fra ekstern tilgang. Partnerorganisasjoner setter opp HDS-instanser og oppretter HDS-klynger etter behov. Hver instans kan støtte flere kundeorganisasjoner, i motsetning til en vanlig HDS-distribusjon som er begrenset til én enkelt organisasjon.
Dette gjør det også mulig for mindre organisasjoner å utnytte HDS, siden nøkkelhåndteringstjenester og sikkerhetsinfrastruktur som datasentre eies av den pålitelige lokale partneren.
Hvordan hybrid datasikkerhet med flere leietakere gir datasuverenitet og datakontroll
- Brukergenerert innhold er beskyttet mot ekstern tilgang, som fra skytjenesteleverandører.
- Lokale betrodde partnere administrerer krypteringsnøklene til kunder de allerede har et etablert forhold til.
- Mulighet for lokal teknisk støtte, hvis partneren tilbyr dette.
- Støtter møter, meldinger og samtaleinnhold.
Dette dokumentet har som mål å hjelpe partnerorganisasjoner med å sette opp og administrere kunder under et hybrid datasikkerhetssystem for flere leietakere.
Begrensninger ved hybrid datasikkerhet for flere leietakere
- Partnerorganisasjoner må ikke ha noen eksisterende HDS-distribusjon aktiv i Control Hub.
- Leietaker- eller kundeorganisasjoner som ønsker å bli administrert av en partner, må ikke ha noen eksisterende HDS-distribusjon i Control Hub.
- Når Multi-Tenant HDS er distribuert av partneren, begynner alle brukere av kundeorganisasjoner samt brukere av partnerorganisasjonen å bruke Multi-Tenant HDS for sine krypteringstjenester.
Partnerorganisasjonen og kundeorganisasjonene de administrerer vil være på samme Multi-Tenant HDS-distribusjon.
Partnerorganisasjonen vil ikke lenger bruke skybasert KMS etter at Multi-Tenant HDS er distribuert.
- Det finnes ingen mekanisme for å flytte nøkler tilbake til Cloud KMS etter en HDS-distribusjon.
- Administratorroller har visse begrensninger. Se avsnittet nedenfor for detaljer.
Roller i hybrid datasikkerhet med flere leietakere
- Fullstendig partneradministrator – Kan administrere innstillinger for alle kunder som partneren administrerer. Kan også tilordne administratorroller til eksisterende brukere i organisasjonen og tilordne bestemte kunder som skal administreres av partneradministratorer.
- Partneradministrator – Kan administrere innstillinger for kunder som administratoren har klargjort eller som er tilordnet brukeren.
- Full administrator – Administrator for partnerorganisasjonen som er autorisert til å utføre oppgaver som å endre organisasjonsinnstillinger, administrere lisenser og tildele roller.
- Oppsett og administrasjon av komplett HDS for flere leietakere for alle kundeorganisasjoner – Full administratorrettigheter for partnere kreves.
- Administrasjon av tildelte leietakerorganisasjoner - Partneradministrator og fulle administratorrettigheter kreves.
Sikkerhetsrikets arkitektur
Webex-skyarkitekturen skiller ulike typer tjenester inn i separate områder, eller tillitsdomener, som vist nedenfor.
For å forstå hybrid datasikkerhet bedre, la oss først se på dette rene skytilfellet, der Cisco tilbyr alle funksjoner i skyverdenen sin. Identitetstjenesten, det eneste stedet hvor brukere kan bli direkte korrelert med sin personlige informasjon, som for eksempel e-postadresse, er logisk og fysisk atskilt fra sikkerhetsområdet i datasenter B. Begge er igjen atskilt fra området der kryptert innhold til slutt lagres, i datasenter C.
I dette diagrammet er klienten Webex-appen som kjører på en brukers bærbare datamaskin, og som har autentisert seg med identitetstjenesten. Når brukeren skriver en melding som skal sendes til et rom, skjer følgende trinn:
-
Klienten oppretter en sikker forbindelse med nøkkelhåndteringstjenesten (KMS), og ber deretter om en nøkkel for å kryptere meldingen. Den sikre forbindelsen bruker ECDH, og KMS krypterer nøkkelen med en AES-256-hovednøkkel.
-
Meldingen krypteres før den forlater klienten. Klienten sender den til indekseringstjenesten, som oppretter krypterte søkeindekser for å hjelpe til med fremtidige søk etter innholdet.
-
Den krypterte meldingen sendes til samsvarstjenesten for samsvarskontroller.
-
Den krypterte meldingen lagres i lagringsområdet.
Når du distribuerer hybrid datasikkerhet, flytter du sikkerhetsfunksjonene (KMS, indeksering og samsvar) til ditt lokale datasenter. De andre skytjenestene som utgjør Webex (inkludert identitets- og innholdslagring) forblir i Ciscos område.
Samarbeid med andre organisasjoner
Brukere i organisasjonen din kan regelmessig bruke Webex-appen til å samarbeide med eksterne deltakere i andre organisasjoner. Når en av brukerne dine ber om en nøkkel til et område som eies av organisasjonen din (fordi det ble opprettet av en av brukerne dine), sender KMS-systemet ditt nøkkelen til klienten via en ECDH-sikret kanal. Men når en annen organisasjon eier nøkkelen for plassen, ruter KMS-systemet ditt forespørselen ut til Webex-skyen gjennom en separat ECDH-kanal for å hente nøkkelen fra det aktuelle KMS-systemet, og returnerer deretter nøkkelen til brukeren din på den opprinnelige kanalen.
KMS-tjenesten som kjører på organisasjon A validerer tilkoblingene til KMS-er i andre organisasjoner ved hjelp av x.509 PKI-sertifikater. Se Klargjør miljøet ditt for detaljer om hvordan du genererer et x.509-sertifikat som skal brukes med din Multi-Tenant Hybrid Data Security-distribusjon.
Forventninger til implementering av hybrid datasikkerhet
En implementering av hybrid datasikkerhet krever betydelig forpliktelse og en bevissthet om risikoene som følger med å eie krypteringsnøkler.
For å implementere hybrid datasikkerhet må du oppgi:
-
Et sikkert datasenter i et land som er et støttet sted for Cisco Webex Teams-abonnementene.
-
Utstyret, programvaren og nettverkstilgangen som er beskrevet i Klargjør miljøet ditt.
Fullstendig tap av enten konfigurasjons-ISO-en du bygger for Hybrid Data Security eller databasen du oppgir, vil føre til tap av nøklene. Nøkkeltap hindrer brukere i å dekryptere plassinnhold og andre krypterte data i Webex-appen. Hvis dette skjer, kan du bygge en ny distribusjon, men bare nytt innhold vil være synlig. For å unngå tap av tilgang til data, må du:
-
Administrer sikkerhetskopiering og gjenoppretting av databasen og konfigurasjons-ISO-en.
-
Vær forberedt på å utføre rask katastrofegjenoppretting hvis en katastrofe inntreffer, for eksempel feil på databasedisken eller datasenterkatastrofe.
Det finnes ingen mekanisme for å flytte nøkler tilbake til skyen etter en HDS-distribusjon.
Høynivåoppsettprosess
Dette dokumentet dekker oppsett og administrasjon av en hybrid datasikkerhetsdistribusjon med flere leietakere:
-
Konfigurer hybrid datasikkerhet– Dette inkluderer å forberede nødvendig infrastruktur og installere hybrid datasikkerhetsprogramvare, bygge en HDS-klynge, legge til leietakerorganisasjoner i klyngen og administrere kundens hovednøkler (CMK-er). Dette vil gjøre det mulig for alle brukere i kundeorganisasjonene dine å bruke hybriddatasikkerhetsklyngen din til sikkerhetsfunksjoner.
Oppsett-, aktiverings- og administrasjonsfasene dekkes i detalj i de neste tre kapitlene.
-
Vedlikehold din hybride datasikkerhetsdistribusjon– Webex-skyen tilbyr automatisk kontinuerlige oppgraderinger. IT-avdelingen din kan tilby støtte på nivå én for denne utrullingen, og engasjere Cisco-støtte etter behov. Du kan bruke varsler på skjermen og konfigurere e-postbaserte varsler i Partner Hub.
-
Forstå vanlige varsler, feilsøkingstrinn og kjente problemer– Hvis du støter på problemer med å distribuere eller bruke Hybrid Data Security, kan det siste kapittelet i denne veiledningen og tillegget om kjente problemer hjelpe deg med å finne og løse problemet.
Hybrid distribusjonsmodell for datasikkerhet
Innenfor bedriftens datasenter distribuerer du Hybrid Data Security som en enkelt klynge av noder på separate virtuelle verter. Nodene kommuniserer med Webex-skyen via sikre websockets og sikker HTTP.
Under installasjonsprosessen gir vi deg OVA-filen for å konfigurere den virtuelle enheten på de virtuelle maskinene du stiller til rådighet. Du bruker HDS-oppsettverktøyet til å opprette en tilpasset ISO-fil for klyngekonfigurasjon som du monterer på hver node. Hybrid Data Security-klyngen bruker den oppgitte Syslogd-serveren og PostgreSQL- eller Microsoft SQL Server-databasen. (Du konfigurerer Syslogd og databasetilkoblingsdetaljene i HDS-oppsettverktøyet.)
Minimum antall noder du kan ha i en klynge er to. Vi anbefaler minst tre per klynge. Å ha flere noder sikrer at tjenesten ikke avbrytes under en programvareoppgradering eller annen vedlikeholdsaktivitet på en node. (Webex-skyen oppgraderer bare én node om gangen.)
Alle noder i en klynge har tilgang til det samme nøkkeldatalageret og logger aktivitet til den samme syslog-serveren. Selve nodene er statsløse og håndterer viktige forespørsler i runde-robin-modus, som anvist av skyen.
Noder blir aktive når du registrerer dem i Partner Hub. For å ta en individuell node ut av drift, kan du avregistrere den og senere registrere den på nytt om nødvendig.
Standby-datasenter for katastrofegjenoppretting
Under utrullingen setter du opp et sikkert reservedatasenter. I tilfelle en datasenterkatastrofe kan du manuelt overføre utrullingen til reservedatasenteret.
Databasene til de aktive og standby-datasentrene er synkroniserte med hverandre, noe som vil minimere tiden det tar å utføre failover.
De aktive Hybrid Data Security-nodene må alltid være i samme datasenter som den aktive databaseserveren.
Sett opp et reservedatasenter for katastrofegjenoppretting
Følg trinnene nedenfor for å konfigurere ISO-filen til standby-datasenteret:
Før du begynner
-
Standby-datasenteret bør speile produksjonsmiljøet til virtuelle maskiner og en sikkerhetskopi av PostgreSQL- eller Microsoft SQL Server-database. Hvis for eksempel produksjonen har 3 virtuelle maskiner som kjører HDS-noder, bør sikkerhetskopieringsmiljøet ha 3 virtuelle maskiner. (Se Standby-datasenter for katastrofegjenoppretting for en oversikt over denne failover-modellen.)
-
Sørg for at databasesynkronisering er aktivert mellom databasen til aktive og passive klyngenoder.
| 1 |
Start HDS-oppsettverktøyet og følg trinnene som er nevnt i Opprett en konfigurasjons-ISO for HDS-vertene. ISO-filen må være en kopi av den originale ISO-filen til det primære datasenteret som følgende konfigurasjonsoppdateringer skal gjøres på. |
| 2 |
Etter at du har konfigurert Syslogd-serveren, klikker du på Avanserte innstillinger |
| 3 |
På siden Avanserte innstillinger legger du til konfigurasjonen nedenfor for å sette noden i passiv modus. I denne modusen vil noden være registrert i organisasjonen og koblet til skyen, men vil ikke håndtere noen trafikk.
|
| 4 |
Fullfør konfigurasjonsprosessen og lagre ISO-filen på et sted som er lett å finne. |
| 5 |
Lag en sikkerhetskopi av ISO-filen på ditt lokale system. Oppbevar sikkerhetskopien sikkert. Denne filen inneholder en hovedkrypteringsnøkkel for databaseinnholdet. Begrens tilgangen til kun de administratorene for hybrid datasikkerhet som skal gjøre konfigurasjonsendringer. |
| 6 |
I VMware vSphere-klientens venstre navigasjonsrute høyreklikker du på den virtuelle maskinen og klikker på Rediger innstillinger.. |
| 7 |
Klikk på Rediger innstillinger >CD/DVD Stasjon 1 og velg Datastore ISO-fil. Sørg for at Tilkoblet og Koble til ved oppstart er avmerket, slik at oppdaterte konfigurasjonsendringer kan tre i kraft etter at nodene har startet. |
| 8 |
Slå på HDS-noden og sørg for at det ikke er noen alarmer på minst 15 minutter. |
| 9 |
Gjenta prosessen for hver node i standby-datasenteret. Sjekk sysloggene for å bekrefte at nodene er i passiv modus. Du skal kunne se meldingen «KMS konfigurert i passiv modus» i sysloggene. |
Hva du skal gjøre nå
Etter at du har konfigurert passiveMode i ISO-filen og lagret den, kan du opprette en ny kopi av ISO-filen uten passiveMode -konfigurasjonen og lagre den på et sikkert sted. Denne kopien av ISO-filen uten passiveMode konfigurert kan bidra til en rask failover-prosess under katastrofegjenoppretting. Se Katastrofegjenoppretting ved bruk av Standby Data Center for den detaljerte failover-prosedyren.
Proxy-støtte
Hybrid datasikkerhet støtter eksplisitte, transparente inspiserende og ikke-inspiserende proxyer. Du kan knytte disse proxy-tjenerne til distribusjonen din, slik at du kan sikre og overvåke trafikk fra bedriften og ut til skyen. Du kan bruke et plattformadministratorgrensesnitt på nodene for sertifikatadministrasjon og for å sjekke den generelle tilkoblingsstatusen etter at du har konfigurert proxyen på nodene.
Hybrid Data Security-nodene støtter følgende proxy-alternativer:
-
Ingen proxy– Standardinnstillingen hvis du ikke bruker HDS-nodeoppsettet Trust Store & Proxy-konfigurasjon for å integrere en proxy. Ingen sertifikatoppdatering er nødvendig.
-
Transparent ikke-inspiserende proxy– Nodene er ikke konfigurert til å bruke en spesifikk proxy-serveradresse og skal ikke kreve noen endringer for å fungere med en ikke-inspiserende proxy. Ingen sertifikatoppdatering er nødvendig.
-
Transparent tunnelering eller inspeksjon av proxy– Nodene er ikke konfigurert til å bruke en spesifikk proxy-serveradresse. Ingen endringer i HTTP- eller HTTPS-konfigurasjonen er nødvendige på nodene. Nodene trenger imidlertid et rotsertifikat slik at de stoler på proxyen. Inspeksjon av proxyer brukes vanligvis av IT for å håndheve retningslinjer for hvilke nettsteder som kan besøkes og hvilke typer innhold som ikke er tillatt. Denne typen proxy dekrypterer all trafikken din (til og med HTTPS).
-
Eksplisitt proxy– Med eksplisitt proxy forteller du HDS-nodene hvilken proxy-server og autentiseringsskjema de skal bruke. For å konfigurere en eksplisitt proxy, må du angi følgende informasjon på hver node:
-
Proxy IP/FQDN– Adresse som kan brukes til å nå proxy-maskinen.
-
Proxy-port– Et portnummer som proxyen bruker til å lytte etter proxy-trafikk.
-
Proxy-protokoll– Avhengig av hva proxy-serveren din støtter, kan du velge mellom følgende protokoller:
-
HTTP – Viser og kontrollerer alle forespørsler som klienten sender.
-
HTTPS – Gir en kanal til serveren. Klienten mottar og validerer serverens sertifikat.
-
-
Autentiseringstype– Velg blant følgende autentiseringstyper:
-
Ingen– Ingen ytterligere autentisering er nødvendig.
Tilgjengelig hvis du velger enten HTTP eller HTTPS som proxy-protokoll.
-
Grunnleggende– Brukes av en HTTP-brukeragent for å oppgi brukernavn og passord når en forespørsel sendes. Bruker Base64-koding.
Tilgjengelig hvis du velger enten HTTP eller HTTPS som proxy-protokoll.
Krever at du oppgir brukernavn og passord på hver node.
-
Sammendrag– Brukes til å bekrefte kontoen før sensitiv informasjon sendes. Bruker en hash-funksjon på brukernavnet og passordet før sending over nettverket.
Bare tilgjengelig hvis du velger HTTPS som proxy-protokoll.
Krever at du oppgir brukernavn og passord på hver node.
-
-
Eksempel på hybride datasikkerhetsnoder og proxy
Dette diagrammet viser et eksempel på en tilkobling mellom Hybrid Data Security, nettverket og en proxy. For proxy-alternativene for transparent inspeksjon og HTTPS-eksplisitt inspeksjon må det samme rotsertifikatet installeres på proxyen og på Hybrid Data Security-nodene.
Blokkert ekstern DNS-oppløsningsmodus (eksplisitte proxy-konfigurasjoner)
Når du registrerer en node eller sjekker nodens proxy-konfigurasjon, tester prosessen DNS-oppslag og tilkobling til Cisco Webex-skyen. I distribusjoner med eksplisitte proxy-konfigurasjoner som ikke tillater ekstern DNS-løsning for interne klienter, går noden automatisk inn i modus for blokkert ekstern DNS-løsning hvis den ikke kan spørre DNS-serverne. I denne modusen kan noderegistrering og andre proxy-tilkoblingstester fortsette.
Krav til hybrid datasikkerhet for flere leietakere
Krav til Cisco Webex-lisens
Slik distribuerer du hybrid datasikkerhet for flere leietakere:
-
Partnerorganisasjoner: Kontakt Cisco-partneren eller kontoansvarlig din, og sørg for at flerleietakerfunksjonen er aktivert.
-
Leietakerorganisasjoner: Du må ha Pro Pack for Cisco Webex Control Hub. (Se https://www.cisco.com/go/pro-pack.)
Krav til Docker-skrivebordet
Før du installerer HDS-nodene dine, trenger du Docker Desktop for å kjøre et installasjonsprogram. Docker har nylig oppdatert lisensmodellen sin. Organisasjonen din kan kreve et betalt abonnement for Docker Desktop. For mer informasjon, se Docker-blogginnlegget « Docker oppdaterer og utvider produktabonnementene våre».
Kunder uten Docker Desktop-lisens kan bruke et åpen kildekode-verktøy for containeradministrasjon som Podman Desktop til å kjøre, administrere og opprette containere. Se Kjør HDS-oppsettverktøyet med Podman Desktop for detaljer.
Krav til X.509-sertifikat
Sertifikatkjeden må oppfylle følgende krav:
|
Behov |
Detaljer |
|---|---|
|
Som standard stoler vi på CA-ene i Mozilla-listen (med unntak av WoSign og StartCom) på https://wiki.mozilla.org/CA:IncludedCAs. |
|
CN-en trenger ikke å være tilgjengelig eller en live vert. Vi anbefaler at du bruker et navn som gjenspeiler organisasjonen din, for eksempel KN-en må ikke inneholde en * (jokertegn). CN-en brukes til å bekrefte hybriddatasikkerhetsnodene til Webex-appklienter. Alle hybriddatasikkerhetsnodene i klyngen din bruker det samme sertifikatet. KMS-systemet ditt identifiserer seg ved hjelp av CN-domenet, ikke et hvilket som helst domene som er definert i x.509v3 SAN-feltene. Når du har registrert en node med dette sertifikatet, støtter vi ikke endring av CN-domenenavnet. |
|
KMS-programvaren støtter ikke SHA1-signaturer for validering av tilkoblinger til andre organisasjoners KMS-er. |
|
Du kan bruke en konverter som OpenSSL for å endre formatet på sertifikatet ditt. Du må oppgi passordet når du kjører HDS-oppsettverktøyet. |
KMS-programvaren håndhever ikke begrensninger for nøkkelbruk eller utvidede nøkkelbruk. Noen sertifikatmyndigheter krever at utvidede begrensninger for nøkkelbruk legges til grunn for hvert sertifikat, for eksempel serverautentisering. Det er greit å bruke serverautentisering eller andre innstillinger.
Krav til virtuelle verter
De virtuelle vertene du skal sette opp som hybride datasikkerhetsnoder i klyngen din, har følgende krav:
-
Minst to separate verter (3 anbefalt) samlokalisert i samme sikre datasenter
-
VMware ESXi 7.0 eller 8.0 installert og kjører.
Du må oppgradere hvis du har en tidligere versjon av ESXi.
-
Minimum 4 vCPU-er, 8 GB hovedminne, 30 GB lokal harddiskplass per server
Krav til databaseserver
Opprett en ny database for nøkkellagring. Ikke bruk standarddatabasen. HDS-applikasjonene oppretter databaseskjemaet når de er installert.
Det finnes to alternativer for databaseserveren. Kravene for hver av dem er som følger:
|
PostgreSQL |
Microsoft SQL Server |
|---|---|
|
|
|
Minimum 8 vCPU-er, 16 GB hovedminne, tilstrekkelig harddiskplass og overvåking for å sikre at den ikke overskrides (2 TB anbefales hvis du vil kjøre databasen over lengre tid uten å måtte øke lagringsplassen) |
Minimum 8 vCPU-er, 16 GB hovedminne, tilstrekkelig harddiskplass og overvåking for å sikre at den ikke overskrides (2 TB anbefales hvis du vil kjøre databasen over lengre tid uten å måtte øke lagringsplassen) |
HDS-programvaren installerer for øyeblikket følgende driverversjoner for kommunikasjon med databaseserveren:
|
PostgreSQL |
Microsoft SQL Server |
|---|---|
|
Postgres JDBC-driver 42.2.5 |
SQL Server JDBC-driver 4.6 Denne driverversjonen støtter SQL Server Always On ( Always On Failover Cluster Instances og Always On tilgjengelighetsgrupper). |
Ytterligere krav for Windows-autentisering mot Microsoft SQL Server
Hvis du vil at HDS-noder skal bruke Windows-autentisering for å få tilgang til nøkkeldatabasen din på Microsoft SQL Server, trenger du følgende konfigurasjon i miljøet ditt:
-
HDS-nodene, Active Directory-infrastrukturen og MS SQL Server må alle synkroniseres med NTP.
-
Windows-kontoen du oppgir til HDS-noder må ha read/write tilgang til databasen.
-
DNS-serverne du tilbyr HDS-noder må kunne løse nøkkeldistribusjonssenteret ditt (KDC).
-
Du kan registrere HDS-databaseforekomsten på Microsoft SQL Server som et Service Principal Name (SPN) i Active Directory. Se Registrer et tjenestehovednavn for Kerberos-tilkoblinger.
HDS-oppsettverktøyet, HDS-startprogrammet og det lokale KMS-systemet må alle bruke Windows-autentisering for å få tilgang til nøkkellagerdatabasen. De bruker detaljene fra ISO-konfigurasjonen din til å konstruere SPN-en når de ber om tilgang med Kerberos-autentisering.
Krav til eksterne tilkoblinger
Konfigurer brannmuren din til å tillate følgende tilkobling for HDS-applikasjonene:
|
Søknad |
Protokoll |
Havn |
Veibeskrivelse fra appen |
Destinasjon |
|---|---|---|---|---|
|
Hybride datasikkerhetsnoder |
TCP |
443 |
Utgående HTTPS og WSS |
|
|
HDS-oppsettverktøy |
TCP |
443 |
Utgående HTTPS |
|
Hybrid Data Security-nodene fungerer med nettverkstilgangsoversettelse (NAT) eller bak en brannmur, så lenge NAT-en eller brannmuren tillater de nødvendige utgående tilkoblingene til domenedestinasjonene i den foregående tabellen. For tilkoblinger som går inn til Hybrid Data Security-nodene, skal ingen porter være synlige fra Internett. Innenfor datasenteret ditt trenger klienter tilgang til Hybrid Data Security-nodene på TCP-portene 443 og 22 for administrative formål.
URL-ene for CI-vertene (Common Identity) er regionspesifikke. Dette er de nåværende CI-vertene:
|
Region |
Felles identitetsverts-URL-er |
|---|---|
|
Amerika |
|
|
Den europeiske union |
|
|
Canada |
|
| Singapore |
|
| De forente arabiske emirater |
|
Krav til proxy-server
-
Vi støtter offisielt følgende proxy-løsninger som kan integreres med dine hybride datasikkerhetsnoder.
-
Gjennomsiktig proxy – Cisco Web Security Appliance (WSA).
-
Eksplisitt proxy – blekksprut.
Squid-proxyer som inspiserer HTTPS-trafikk kan forstyrre etableringen av websocket (wss:) forbindelser. For å omgå dette problemet, se Konfigurer Squid-proxyer for hybrid datasikkerhet.
-
-
Vi støtter følgende autentiseringstypekombinasjoner for eksplisitte proxyer:
-
Ingen autentisering med HTTP eller HTTPS
-
Grunnleggende autentisering med HTTP eller HTTPS
-
Digest-autentisering kun med HTTPS
-
-
For en transparent inspiserende proxy eller en eksplisitt HTTPS-proxy må du ha en kopi av proxyens rotsertifikat. Distribusjonsinstruksjonene i denne veiledningen forteller deg hvordan du laster opp kopien til Hybrid Data Security-nodenes klareringslagre.
-
Nettverket som er vert for HDS-nodene må konfigureres til å tvinge utgående TCP-trafikk på port 443 til å rutes gjennom proxyen.
-
Proxyer som inspiserer webtrafikk kan forstyrre web socket-tilkoblinger. Hvis dette problemet oppstår, vil det å omgå (ikke inspisere) trafikk til
wbx2.comogciscospark.comløse problemet.
Fullfør forutsetningene for hybrid datasikkerhet
| 1 |
Sørg for at partnerorganisasjonen din har Multi-Tenant HDS-funksjonen aktivert, og hent legitimasjonen til en konto med partnerrettigheter og fulle administratorrettigheter. Sørg for at Webex-kundeorganisasjonen din er aktivert for Pro Pack for Cisco Webex Control Hub. Kontakt din Cisco-partner eller kontoansvarlige for å få hjelp med denne prosessen. Kundeorganisasjoner skal ikke ha noen eksisterende HDS-distribusjon. |
| 2 |
Velg et domenenavn for HDS-distribusjonen din (for eksempel |
| 3 |
Forbered identiske virtuelle verter som du vil konfigurere som hybride datasikkerhetsnoder i klyngen din. Du trenger minst to separate verter (3 anbefales) samlokalisert i samme sikre datasenter, som oppfyller kravene i Krav til virtuelle verter. |
| 4 |
Klargjør databaseserveren som skal fungere som nøkkeldatalager for klyngen, i henhold til Databaseserverkrav. Databaseserveren må være samlokalisert i det sikre datasenteret med de virtuelle vertene. |
| 5 |
For rask gjenoppretting etter katastrofer, sett opp et sikkerhetskopieringsmiljø i et annet datasenter. Sikkerhetskopieringsmiljøet speiler produksjonsmiljøet til virtuelle maskiner og en sikkerhetskopieringsdatabaseserver. Hvis for eksempel produksjonen har 3 virtuelle maskiner som kjører HDS-noder, bør sikkerhetskopieringsmiljøet ha 3 virtuelle maskiner. |
| 6 |
Konfigurer en syslog-vert for å samle inn logger fra nodene i klyngen. Hent nettverksadressen og syslog-porten (standard er UDP 514). |
| 7 |
Opprett en sikker sikkerhetskopieringspolicy for Hybrid Data Security-nodene, databaseserveren og syslog-verten. For å forhindre uopprettelig datatap må du som et minimum sikkerhetskopiere databasen og ISO-konfigurasjonsfilen som er generert for Hybrid Data Security-nodene. Fordi hybride datasikkerhetsnoder lagrer nøklene som brukes i kryptering og dekryptering av innhold, vil manglende opprettholdelse av en operativ distribusjon føre til UOPPRETTBART TAP av innholdet. Webex-appklienter bufrer nøklene sine, så et driftsavbrudd er kanskje ikke umiddelbart merkbart, men vil bli tydelig over tid. Selv om midlertidige avbrudd er umulige å forhindre, kan de gjenopprettes. Fullstendig tap (ingen sikkerhetskopier tilgjengelig) av enten databasen eller konfigurasjons-ISO-filen vil imidlertid føre til uopprettelige kundedata. Operatørene av Hybrid Data Security-nodene forventes å opprettholde hyppige sikkerhetskopier av databasen og ISO-konfigurasjonsfilen, og være forberedt på å gjenoppbygge Hybrid Data Security-datasenteret hvis det oppstår en katastrofal feil. |
| 8 |
Sørg for at brannmurkonfigurasjonen din tillater tilkobling for hybriddatasikkerhetsnodene dine som beskrevet i Krav til ekstern tilkobling. |
| 9 |
Installer Docker ( https://www.docker.com) på en hvilken som helst lokal maskin som kjører et støttet operativsystem (Microsoft Windows 10 Professional eller Enterprise 64-bit, eller Mac OSX Yosemite 10.10.3 eller nyere) med en nettleser som har tilgang til det på http://127.0.0.1:8080. Du bruker Docker-forekomsten til å laste ned og kjøre HDS Setup Tool, som bygger den lokale konfigurasjonsinformasjonen for alle Hybrid Data Security-nodene. Du trenger kanskje en Docker Desktop-lisens. Se Krav til Docker Desktop for mer informasjon. For å installere og kjøre HDS Setup Tool, må den lokale maskinen ha tilkoblingsmulighetene som er beskrevet i Krav til ekstern tilkobling. |
| 10 |
Hvis du integrerer en proxy med Hybrid Data Security, må du sørge for at den oppfyller Krav til proxyserver. |
Oppgaveflyt for distribusjon av hybrid datasikkerhet
| 1 |
Utfør første oppsett og last ned installasjonsfiler Last ned OVA-filen til din lokale maskin for senere bruk. |
| 2 |
Opprett en konfigurasjons-ISO for HDS-vertene Bruk HDS-oppsettverktøyet til å opprette en ISO-konfigurasjonsfil for Hybrid Data Security-nodene. |
| 3 |
Opprett en virtuell maskin fra OVA-filen og utfør den første konfigurasjonen, for eksempel nettverksinnstillinger. Alternativet for å konfigurere nettverksinnstillinger under OVA-distribusjon har blitt testet med ESXi 7.0 og 8.0. Alternativet er kanskje ikke tilgjengelig i tidligere versjoner. |
| 4 |
Konfigurer den hybride virtuelle datamaskinen for datasikkerhet Logg på VM-konsollen og angi påloggingslegitimasjonen. Konfigurer nettverksinnstillingene for noden hvis du ikke konfigurerte dem da OVA-distribusjonen ble utført. |
| 5 |
Last opp og monter HDS-konfigurasjons-ISO-en Konfigurer den virtuelle maskinen fra ISO-konfigurasjonsfilen du opprettet med HDS-oppsettverktøyet. |
| 6 |
Konfigurer HDS-noden for proxy-integrasjon Hvis nettverksmiljøet krever proxy-konfigurasjon, angi hvilken type proxy du vil bruke for noden, og legg til proxy-sertifikatet i klareringslageret om nødvendig. |
| 7 |
Registrer den første noden i klyngen Registrer den virtuelle maskinen med Cisco Webex-skyen som en hybrid datasikkerhetsnode. |
| 8 |
Opprett og registrer flere noder Fullfør klyngeoppsettet. |
| 9 |
Aktiver HDS for flere leietakere på partnerhub. Aktiver HDS og administrer leietakerorganisasjoner på Partner Hub. |
Utfør første oppsett og last ned installasjonsfiler
I denne oppgaven laster du ned en OVA-fil til maskinen din (ikke til serverne du har satt opp som hybride datasikkerhetsnoder). Du bruker denne filen senere i installasjonsprosessen.
| 1 |
Logg på Partner Hub, og klikk deretter på Tjenester. |
| 2 |
I Hybrid-delen finner du kortet for hybrid datasikkerhet, og deretter klikker du på Konfigurer. Det er avgjørende for distribusjonsprosessen å klikke på Konfigurer i Partner Hub. Ikke fortsett med installasjonen uten å fullføre dette trinnet. |
| 3 |
Klikk på Legg til en ressurs og klikk på Last ned .OVA-fil på kortet Installer og konfigurer programvare. Eldre versjoner av programvarepakken (OVA) vil ikke være kompatible med de nyeste oppgraderingene for hybrid datasikkerhet. Dette kan føre til problemer under oppgradering av applikasjonen. Sørg for at du laster ned den nyeste versjonen av OVA-filen. Du kan også laste ned OVA når som helst fra Hjelp -delen. Klikk på . Nedlastingen av OVA-filen begynner automatisk. Lagre filen på en plassering på maskinen din.
|
Opprett en konfigurasjons-ISO for HDS-vertene
Konfigurasjonsprosessen for hybrid datasikkerhet oppretter en ISO-fil. Deretter bruker du ISO-filen til å konfigurere Hybrid Data Security-verten din.
Før du begynner
-
HDS-oppsettverktøyet kjører som en Docker-container på en lokal maskin. For å få tilgang til den, kjør Docker på den maskinen. Oppsettprosessen krever påloggingsinformasjonen til en Partner Hub-konto med fulle administratorrettigheter.
Hvis du ikke har en Docker Desktop-lisens, kan du bruke Podman Desktop til å kjøre HDS-oppsettverktøyet for trinn 1 til 5 i prosedyren nedenfor. Se Kjør HDS-oppsettverktøyet med Podman Desktop for detaljer.
Hvis HDS-oppsettverktøyet kjører bak en proxy i miljøet ditt, må du oppgi proxy-innstillingene (server, port, legitimasjon) via Docker-miljøvariabler når du åpner Docker-containeren i trinn 5 nedenfor. Denne tabellen viser noen mulige miljøvariabler:
Beskrivelse
Variabel
HTTP-proxy uten autentisering
GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORTHTTPS-proxy uten autentisering
GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORTHTTP-proxy med autentisering
GLOBAL_AGENT_HTTP_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORTHTTPS-proxy med autentisering
GLOBAL_AGENT_HTTPS_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT -
Konfigurasjons-ISO-filen du genererer inneholder hovednøkkelen som krypterer PostgreSQL- eller Microsoft SQL Server-databasen. Du trenger den nyeste kopien av denne filen hver gang du gjør konfigurasjonsendringer, som disse:
-
Databaselegitimasjon
-
Sertifikatoppdateringer
-
Endringer i autorisasjonspolicyen
-
-
Hvis du planlegger å kryptere databasetilkoblinger, må du konfigurere PostgreSQL- eller SQL Server-distribusjonen din for TLS.
| 1 |
Skriv inn riktig kommando for miljøet ditt på maskinens kommandolinje: I vanlige miljøer: I FedRAMP-miljøer: Dette trinnet rydder opp i tidligere bilder av HDS-oppsettverktøyet. Hvis det ikke finnes noen tidligere bilder, returnerer den en feil som du kan ignorere. | ||||||||||
| 2 |
For å logge på Docker-avbildningsregisteret, skriv inn følgende: | ||||||||||
| 3 |
Ved passordledeteksten skriver du inn denne hashen: | ||||||||||
| 4 |
Last ned det nyeste stabile bildet for miljøet ditt: I vanlige miljøer: I FedRAMP-miljøer: | ||||||||||
| 5 |
Når hentingen er fullført, skriver du inn riktig kommando for miljøet ditt:
Når containeren kjører, ser du «Express-server lytter på port 8080». | ||||||||||
| 6 |
Installasjonsverktøyet støtter ikke tilkobling til localhost via http://localhost:8080. Bruk http://127.0.0.1:8080 for å koble til localhost. Bruk en nettleser til å gå til localhost, Verktøyet bruker denne første oppføringen av brukernavnet til å angi riktig miljø for den kontoen. Verktøyet viser deretter standard påloggingsledetekst. | ||||||||||
| 7 |
Når du blir bedt om det, skriver du inn påloggingsinformasjonen for Partner Hub-administratoren, og klikker deretter på Logg inn for å gi tilgang til de nødvendige tjenestene for Hybrid Data Security. | ||||||||||
| 8 |
På oversiktssiden for oppsettverktøyet klikker du på Kom i gang. | ||||||||||
| 9 |
På siden ISO-import har du disse alternativene:
| ||||||||||
| 10 |
Sjekk at X.509-sertifikatet ditt oppfyller kravene i Krav til X.509-sertifikat.
| ||||||||||
| 11 |
Skriv inn databaseadressen og kontoen som HDS bruker for å få tilgang til nøkkeldatalageret ditt: | ||||||||||
| 12 |
Velg en TLS-databasetilkoblingsmodus:
Når du laster opp rotsertifikatet (hvis nødvendig) og klikker på Fortsett, tester HDS-oppsettverktøyet TLS-tilkoblingen til databaseserveren. Verktøyet verifiserer også sertifikatsigneren og vertsnavnet, hvis aktuelt. Hvis en test mislykkes, viser verktøyet en feilmelding som beskriver problemet. Du kan velge om du vil ignorere feilen og fortsette med oppsettet. (På grunn av tilkoblingsforskjeller kan HDS-nodene kanskje opprette TLS-tilkoblingen selv om HDS Setup Tool-maskinen ikke kan teste den.) | ||||||||||
| 13 |
På siden Systemlogger konfigurerer du Syslogd-serveren din: | ||||||||||
| 14 |
(Valgfritt) Du kan endre standardverdien for noen databasetilkoblingsparametere i Avanserte innstillinger. Vanligvis er denne parameteren den eneste du kanskje vil endre: | ||||||||||
| 15 |
Klikk på Fortsett på skjermbildet Tilbakestill passord for tjenestekontoer. Passord for tjenestekontoer har en levetid på ni måneder. Bruk denne skjermen når passordene dine nærmer seg utløpsdatoen, eller du vil tilbakestille dem for å ugyldiggjøre tidligere ISO-filer. | ||||||||||
| 16 |
Klikk på Last ned ISO-fil. Lagre filen på et sted som er lett å finne. | ||||||||||
| 17 |
Lag en sikkerhetskopi av ISO-filen på ditt lokale system. Oppbevar sikkerhetskopien sikkert. Denne filen inneholder en hovedkrypteringsnøkkel for databaseinnholdet. Begrens tilgangen til kun de administratorene for hybrid datasikkerhet som skal gjøre konfigurasjonsendringer. | ||||||||||
| 18 |
For å avslutte installasjonsverktøyet, skriv |
Hva du skal gjøre nå
Sikkerhetskopier konfigurasjons-ISO-filen. Du trenger det for å opprette flere noder for gjenoppretting, eller for å gjøre konfigurasjonsendringer. Hvis du mister alle kopiene av ISO-filen, har du også mistet hovednøkkelen. Det er ikke mulig å gjenopprette nøklene fra PostgreSQL- eller Microsoft SQL Server-databasen.
Vi har aldri en kopi av denne nøkkelen, og kan ikke hjelpe deg hvis du mister den.
Installer HDS Host OVA
| 1 |
Bruk VMware vSphere-klienten på datamaskinen din for å logge på den virtuelle ESXi-verten. |
| 2 |
Velg Fil > Distribuer OVF-mal. |
| 3 |
I veiviseren angir du plasseringen til OVA-filen du lastet ned tidligere, og klikker deretter på Neste. |
| 4 |
På siden Velg et navn og en mappe skriver du inn et navn på en virtuell maskin for noden (for eksempel "HDS_Node_1"), velger en plassering der distribusjonen av den virtuelle maskinnoden kan befinne seg, og klikker deretter på Neste. |
| 5 |
På siden Velg en beregningsressurs velger du målberegningsressursen og klikker deretter på Neste. En valideringskontroll kjøres. Når det er ferdig, vises maldetaljene. |
| 6 |
Bekreft maldetaljene og klikk deretter på Neste. |
| 7 |
Hvis du blir bedt om å velge ressurskonfigurasjon på siden Konfigurasjon, klikker du på 4 CPU og deretter på Neste. |
| 8 |
På siden Velg lagring klikker du på Neste for å godta standard diskformat og lagringspolicy for virtuell maskin. |
| 9 |
På siden Velg nettverk velger du nettverksalternativet fra listen over oppføringer for å gi ønsket tilkobling til den virtuelle maskinen. |
| 10 |
På siden Tilpass mal konfigurerer du følgende nettverksinnstillinger:
Hvis du foretrekker det, kan du hoppe over konfigurasjonen av nettverksinnstillingene og følge trinnene i Konfigurer den virtuelle hybriddatasikkerhetsmaskinen for å konfigurere innstillingene fra nodekonsollen. Alternativet for å konfigurere nettverksinnstillinger under OVA-distribusjon har blitt testet med ESXi 7.0 og 8.0. Alternativet er kanskje ikke tilgjengelig i tidligere versjoner. |
| 11 |
Høyreklikk på nodens virtuelle maskin, og velg deretter . Hybrid Data Security-programvaren installeres som gjest på VM-verten. Du er nå klar til å logge på konsollen og konfigurere noden. Feilsøkingstips Du kan oppleve en forsinkelse på noen få minutter før nodecontainerne dukker opp. En melding om en brobrannmur vises på konsollen under første oppstart, og du kan ikke logge på i løpet av denne tiden. |
Konfigurer den hybride virtuelle datamaskinen for datasikkerhet
Bruk denne prosedyren for å logge på Hybrid Data Security-nodens virtuelle konsoll for første gang og angi påloggingslegitimasjonen. Du kan også bruke konsollen til å konfigurere nettverksinnstillingene for noden hvis du ikke konfigurerte dem da OVA-distribusjonen ble utført.
| 1 |
I VMware vSphere-klienten velger du den virtuelle maskinen for hybrid datasikkerhetsnoden og velger fanen Konsoll. VM-en starter opp, og en påloggingsledetekst vises. Hvis påloggingsledeteksten ikke vises, trykk Enter.
|
| 2 |
Bruk følgende standardbrukernavn og passord for å logge på og endre påloggingsinformasjonen: Siden du logger på den virtuelle maskinen for første gang, må du endre administratorpassordet. |
| 3 |
Hvis du allerede har konfigurert nettverksinnstillingene i Installer HDS Host OVA, hopper du over resten av denne prosedyren. Ellers velger du alternativet Rediger konfigurasjon i hovedmenyen. |
| 4 |
Sett opp en statisk konfigurasjon med IP-adresse, maske, gateway og DNS-informasjon. Noden din skal ha en intern IP-adresse og et DNS-navn. DHCP støttes ikke. |
| 5 |
(Valgfritt) Endre vertsnavn, domene eller NTP-server(e) om nødvendig for å samsvare med nettverkspolicyen din. Du trenger ikke å angi domenet slik at det samsvarer med domenet du brukte for å hente X.509-sertifikatet. |
| 6 |
Lagre nettverkskonfigurasjonen og start den virtuelle maskinen på nytt slik at endringene trer i kraft. |
Last opp og monter HDS-konfigurasjons-ISO-en
Før du begynner
Fordi ISO-filen inneholder hovednøkkelen, bør den bare eksponeres ved behov, for tilgang av de virtuelle hybriddatasikkerhetsmaskinene og eventuelle administratorer som måtte trenge å gjøre endringer. Sørg for at bare disse administratorene har tilgang til datalageret.
| 1 |
Last opp ISO-filen fra datamaskinen din: |
| 2 |
Monter ISO-filen: |
Hva du skal gjøre nå
Hvis IT-policyen din krever det, kan du eventuelt avmontere ISO-filen etter at alle nodene dine har plukket opp konfigurasjonsendringene. Se (Valgfritt) Avmonter ISO etter HDS-konfigurasjon for detaljer.
Konfigurer HDS-noden for proxy-integrasjon
Hvis nettverksmiljøet krever en proxy, bruk denne prosedyren for å angi typen proxy du vil integrere med Hybrid Data Security. Hvis du velger en transparent inspeksjonsproxy eller en eksplisitt HTTPS-proxy, kan du bruke nodens grensesnitt til å laste opp og installere rotsertifikatet. Du kan også sjekke proxy-tilkoblingen fra grensesnittet og feilsøke eventuelle problemer.
Før du begynner
-
Se Proxy-støtte for en oversikt over de støttede proxy-alternativene.
| 1 |
Skriv inn URL-adressen for oppsett av HDS-noden |
| 2 |
Gå til Trust Store & Proxy, og velg deretter et alternativ:
Følg de neste trinnene for en transparent inspeksjonsproxy, en eksplisitt HTTP-proxy med grunnleggende autentisering eller en eksplisitt HTTPS-proxy. |
| 3 |
Klikk på Last opp et rotsertifikat eller et sluttenhetssertifikat, og naviger deretter til og velg rotsertifikatet for proxyen. Sertifikatet er lastet opp, men ikke installert ennå, fordi du må starte noden på nytt for å installere sertifikatet. Klikk på vinkelpilen ved siden av sertifikatutstederens navn for å få mer informasjon, eller klikk på Slett hvis du har gjort en feil og vil laste opp filen på nytt. |
| 4 |
Klikk på Sjekk proxy-tilkobling for å teste nettverkstilkoblingen mellom noden og proxyen. Hvis tilkoblingstesten mislykkes, vil du se en feilmelding som viser årsaken og hvordan du kan løse problemet. Hvis du ser en melding som sier at ekstern DNS-løsning ikke var vellykket, klarte ikke noden å nå DNS-serveren. Denne betingelsen er forventet i mange eksplisitte proxy-konfigurasjoner. Du kan fortsette med oppsettet, og noden vil fungere i modus for blokkert ekstern DNS-løsning. Hvis du tror dette er en feil, fullfør disse trinnene, og se deretter Slå av blokkert ekstern DNS-oppløsningsmodus. |
| 5 |
Etter at tilkoblingstesten er bestått, for eksplisitt proxy satt til kun https, slå veksleknappen på Rut alle porter 443/444 https-forespørsler fra denne noden gjennom den eksplisitte proxyen. Denne innstillingen krever 15 sekunder for å tre i kraft. |
| 6 |
Klikk på Installer alle sertifikater i klareringslageret (vises for en eksplisitt HTTPS-proxy eller en transparent inspiserende proxy) eller Start på nytt (vises for en eksplisitt HTTP-proxy), les ledeteksten, og klikk deretter på Installer hvis du er klar. Noden starter på nytt innen få minutter. |
| 7 |
Etter at noden har startet på nytt, logg inn igjen om nødvendig, og åpne deretter siden Oversikt for å sjekke tilkoblingskontrollene og sørge for at de alle har grønn status. Proxy-tilkoblingskontrollen tester bare et underdomene av webex.com. Hvis det er tilkoblingsproblemer, er et vanlig problem at noen av skydomenene som er oppført i installasjonsinstruksjonene, blokkeres av proxy-tjeneren. |
Registrer den første noden i klyngen
Når du registrerer din første node, oppretter du en klynge som noden er tilordnet. En klynge inneholder én eller flere noder som er distribuert for å gi redundans.
Før du begynner
-
Når du har startet registreringen av en node, må du fullføre den innen 60 minutter, ellers må du starte på nytt.
-
Sørg for at eventuelle popup-blokkeringer i nettleseren din er deaktivert, eller at du tillater et unntak for admin.webex.com.
| 1 |
Logg inn på https://admin.webex.com. |
| 2 |
Fra menyen på venstre side av skjermen velger du Tjenester. |
| 3 |
I Hybrid-delen finner du Hybrid Data Security-kortet og klikker på Konfigurer. |
| 4 |
På siden som åpnes, klikk på Legg til en ressurs. |
| 5 |
I det første feltet på kortet Opprett en ny klynge skriver du inn et navn for klyngen du vil tilordne Hybrid Data Security-noden til. Vi anbefaler at du navngir en klynge basert på hvor nodene i klyngen befinner seg geografisk. Eksempler: «San Francisco» eller «New York» eller «Dallas» |
| 6 |
I det andre feltet skriver du inn den interne IP-adressen eller det fullstendig kvalifiserte domenenavnet (FQDN) til noden din og klikker på Legg til nederst på skjermen. Denne IP-adressen eller FQDN-en skal samsvare med IP-adressen eller vertsnavnet og domenet du brukte i Konfigurer den hybride virtuelle datamaskinen for datasikkerhet. Det vises en melding som angir at du kan registrere noden din i Webex.
|
| 7 |
Klikk på Gå til node. Etter noen få øyeblikk blir du omdirigert til nodetilkoblingstestene for Webex-tjenester. Hvis alle testene er vellykkede, vises siden Tillat tilgang til hybrid datasikkerhetsnode. Der bekrefter du at du vil gi Webex-organisasjonen din tillatelse til å få tilgang til noden din. |
| 8 |
Merk av i boksen Tillat tilgang til hybrid datasikkerhetsnode, og klikk deretter på Fortsett. Kontoen din er validert, og meldingen «Registrering fullført» indikerer at noden din nå er registrert i Webex-skyen.
|
| 9 |
Klikk på lenken eller lukk fanen for å gå tilbake til Partner Hub Hybrid Data Security-siden. På siden Hybrid datasikkerhet vises den nye klyngen som inneholder noden du registrerte, under fanen Ressurser. Noden vil automatisk laste ned den nyeste programvaren fra skyen.
|
Opprett og registrer flere noder
Før du begynner
-
Når du har startet registreringen av en node, må du fullføre den innen 60 minutter, ellers må du starte på nytt.
-
Sørg for at eventuelle popup-blokkeringer i nettleseren din er deaktivert, eller at du tillater et unntak for admin.webex.com.
| 1 |
Opprett en ny virtuell maskin fra OVA-en, og gjenta trinnene i Installer HDS Host OVA. |
| 2 |
Konfigurer den første konfigurasjonen på den nye virtuelle maskinen, og gjenta trinnene i Konfigurer den hybride virtuelle maskinen for datasikkerhet. |
| 3 |
Gjenta trinnene i Last opp og monter HDS-konfigurasjons-ISOpå den nye virtuelle maskinen. |
| 4 |
Hvis du konfigurerer en proxy for distribusjonen din, gjenta trinnene i Konfigurer HDS-noden for proxy-integrasjon etter behov for den nye noden. |
| 5 |
Registrer noden. |
Hva du skal gjøre nå
Aktiver flerleietaker-HDS på partnerhub
Denne oppgaven sikrer at alle brukere i kundeorganisasjonene kan begynne å utnytte HDS for lokale krypteringsnøkler og andre sikkerhetstjenester.
Før du begynner
Sørg for at du har fullført oppsettet av HDS-klyngen med flere leietakere med det nødvendige antallet noder.
| 1 |
Logg inn på https://admin.webex.com. |
| 2 |
Fra menyen på venstre side av skjermen velger du Tjenester. |
| 3 |
I Hybrid-delen finner du Hybrid datasikkerhet og klikker på Rediger innstillinger. |
| 4 |
Klikk på Aktiver HDS på kortet HDS-status. |
Legg til leietakerorganisasjoner i Partner Hub
I denne oppgaven tilordner du kundeorganisasjoner til din hybride datasikkerhetsklynge.
| 1 |
Logg inn på https://admin.webex.com. |
| 2 |
Fra menyen på venstre side av skjermen velger du Tjenester. |
| 3 |
I Hybrid-delen finner du Hybrid datasikkerhet og klikker på Vis alle. |
| 4 |
Gå til fanen Tildelte kunder. Fanen Tildelte kunder vises ikke før du oppretter en klynge. |
| 5 |
Klikk på Legg til kunder. |
| 6 |
Velg kunden du vil legge til fra rullegardinmenyen. |
| 7 |
Klikk på Legg til, kunden vil bli lagt til i klyngen. |
| 8 |
Gjenta trinn 5 til 7 for å legge til flere kunder i klyngen din. |
| 9 |
Klikk på Ferdig nederst på skjermen når du har lagt til kundene. Kunder som legges til, vil bli synkronisert på tvers av alle tilgjengelige klynger. |
Hva du skal gjøre nå
Opprett kundens hovednøkler (CMK-er) ved hjelp av HDS-oppsettverktøyet
Før du begynner
Tilordne kunder som beskrevet i Legge til leietakerorganisasjoner i partnerhub. Kjør HDS-oppsettverktøyet for å fullføre oppsettprosessen for de nylig tillagte kundeorganisasjonene.
-
HDS-oppsettverktøyet kjører som en Docker-container på en lokal maskin. For å få tilgang til den, kjør Docker på den maskinen. Konfigurasjonsprosessen krever legitimasjonen til en Partner Hub-konto med fulle administratorrettigheter for organisasjonen din.
Hvis HDS-oppsettverktøyet kjører bak en proxy i miljøet ditt, må du oppgi proxy-innstillingene (server, port, legitimasjon) via Docker-miljøvariabler når du åpner Docker-containeren i trinn 5. Denne tabellen viser noen mulige miljøvariabler:
Beskrivelse
Variabel
HTTP-proxy uten autentisering
GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORTHTTPS-proxy uten autentisering
GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORTHTTP-proxy med autentisering
GLOBAL_AGENT_HTTP_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORTHTTPS-proxy med autentisering
GLOBAL_AGENT_HTTPS_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT -
Konfigurasjons-ISO-filen du genererer inneholder hovednøkkelen som krypterer PostgreSQL- eller Microsoft SQL Server-databasen. Du trenger den nyeste kopien av denne filen hver gang du gjør konfigurasjonsendringer, som disse:
-
Databaselegitimasjon
-
Sertifikatoppdateringer
-
Endringer i autorisasjonspolicyen
-
-
Hvis du planlegger å kryptere databasetilkoblinger, må du konfigurere PostgreSQL- eller SQL Server-distribusjonen din for TLS.
Konfigurasjonsprosessen for hybrid datasikkerhet oppretter en ISO-fil. Deretter bruker du ISO-filen til å konfigurere Hybrid Data Security-verten din.
| 1 |
Skriv inn riktig kommando for miljøet ditt på maskinens kommandolinje: I vanlige miljøer: I FedRAMP-miljøer: Dette trinnet rydder opp i tidligere bilder av HDS-oppsettverktøyet. Hvis det ikke finnes noen tidligere bilder, returnerer den en feil som du kan ignorere. |
| 2 |
For å logge på Docker-avbildningsregisteret, skriv inn følgende: |
| 3 |
Ved passordledeteksten skriver du inn denne hashen: |
| 4 |
Last ned det nyeste stabile bildet for miljøet ditt: I vanlige miljøer: I FedRAMP-miljøer: |
| 5 |
Når hentingen er fullført, skriver du inn riktig kommando for miljøet ditt:
Når containeren kjører, ser du «Express-server lytter på port 8080». |
| 6 |
Installasjonsverktøyet støtter ikke tilkobling til localhost via http://localhost:8080. Bruk http://127.0.0.1:8080 for å koble til localhost. Bruk en nettleser til å gå til localhost, Verktøyet bruker denne første oppføringen av brukernavnet til å angi riktig miljø for den kontoen. Verktøyet viser deretter standard påloggingsledetekst. |
| 7 |
Når du blir bedt om det, skriver du inn påloggingsinformasjonen for Partner Hub-administratoren, og klikker deretter på Logg inn for å gi tilgang til de nødvendige tjenestene for Hybrid Data Security. |
| 8 |
På oversiktssiden for oppsettverktøyet klikker du på Kom i gang. |
| 9 |
På siden ISO-import klikker du på Ja. |
| 10 |
Velg ISO-filen din i nettleseren og last den opp. Sørg for tilkobling til databasen din for å utføre CMK-administrasjon. |
| 11 |
Gå til fanen Leietaker-CMK-administrasjon, der du finner følgende tre måter å administrere Leietaker-CMK-er på.
|
| 12 |
Når CMK-opprettelsen er vellykket, endres statusen i tabellen fra CMK-administrasjon venter til CMK-administrert. |
| 13 |
Hvis opprettelsen av CMK mislykkes, vises en feilmelding. |
Fjern leietakerorganisasjoner
Før du begynner
Når den er fjernet, vil ikke brukere av kundeorganisasjoner kunne bruke HDS til sine krypteringsbehov, og de vil miste alle eksisterende plasser. Før du fjerner kundeorganisasjoner, må du kontakte Cisco-partneren eller kontoansvarlig.
| 1 |
Logg inn på https://admin.webex.com. |
| 2 |
Fra menyen på venstre side av skjermen velger du Tjenester. |
| 3 |
I Hybrid-delen finner du Hybrid datasikkerhet og klikker på Vis alle. |
| 4 |
På siden som åpnes, klikk på fanen Tildelte kunder. |
| 5 |
Fra listen over kundeorganisasjoner som vises, klikk på |
Hva du skal gjøre nå
Fullfør fjerningsprosessen ved å tilbakekalle CMK-ene til kundeorganisasjonene som beskrevet i Tilbakekalle CMK-er for leietakere fjernet fra HDS.
Tilbakekall CMK-er for leietakere som er fjernet fra HDS.
Før du begynner
Fjern kunder som beskrevet i Fjern leietakerorganisasjoner. Kjør HDS-oppsettverktøyet for å fullføre fjerningsprosessen for kundeorganisasjonene som ble fjernet.
-
HDS-oppsettverktøyet kjører som en Docker-container på en lokal maskin. For å få tilgang til den, kjør Docker på den maskinen. Konfigurasjonsprosessen krever legitimasjonen til en Partner Hub-konto med fulle administratorrettigheter for organisasjonen din.
Hvis HDS-oppsettverktøyet kjører bak en proxy i miljøet ditt, må du oppgi proxy-innstillingene (server, port, legitimasjon) via Docker-miljøvariabler når du åpner Docker-containeren i trinn 5. Denne tabellen viser noen mulige miljøvariabler:
Beskrivelse
Variabel
HTTP-proxy uten autentisering
GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORTHTTPS-proxy uten autentisering
GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORTHTTP-proxy med autentisering
GLOBAL_AGENT_HTTP_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORTHTTPS-proxy med autentisering
GLOBAL_AGENT_HTTPS_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT -
Konfigurasjons-ISO-filen du genererer inneholder hovednøkkelen som krypterer PostgreSQL- eller Microsoft SQL Server-databasen. Du trenger den nyeste kopien av denne filen hver gang du gjør konfigurasjonsendringer, som disse:
-
Databaselegitimasjon
-
Sertifikatoppdateringer
-
Endringer i autorisasjonspolicyen
-
-
Hvis du planlegger å kryptere databasetilkoblinger, må du konfigurere PostgreSQL- eller SQL Server-distribusjonen din for TLS.
Konfigurasjonsprosessen for hybrid datasikkerhet oppretter en ISO-fil. Deretter bruker du ISO-filen til å konfigurere Hybrid Data Security-verten din.
| 1 |
Skriv inn riktig kommando for miljøet ditt på maskinens kommandolinje: I vanlige miljøer: I FedRAMP-miljøer: Dette trinnet rydder opp i tidligere bilder av HDS-oppsettverktøyet. Hvis det ikke finnes noen tidligere bilder, returnerer den en feil som du kan ignorere. |
| 2 |
For å logge på Docker-avbildningsregisteret, skriv inn følgende: |
| 3 |
Ved passordledeteksten skriver du inn denne hashen: |
| 4 |
Last ned det nyeste stabile bildet for miljøet ditt: I vanlige miljøer: I FedRAMP-miljøer: |
| 5 |
Når hentingen er fullført, skriver du inn riktig kommando for miljøet ditt:
Når containeren kjører, ser du «Express-server lytter på port 8080». |
| 6 |
Installasjonsverktøyet støtter ikke tilkobling til localhost via http://localhost:8080. Bruk http://127.0.0.1:8080 for å koble til localhost. Bruk en nettleser til å gå til localhost, Verktøyet bruker denne første oppføringen av brukernavnet til å angi riktig miljø for den kontoen. Verktøyet viser deretter standard påloggingsledetekst. |
| 7 |
Når du blir bedt om det, skriver du inn påloggingsinformasjonen for Partner Hub-administratoren, og klikker deretter på Logg inn for å gi tilgang til de nødvendige tjenestene for Hybrid Data Security. |
| 8 |
På oversiktssiden for oppsettverktøyet klikker du på Kom i gang. |
| 9 |
På siden ISO-import klikker du på Ja. |
| 10 |
Velg ISO-filen din i nettleseren og last den opp. |
| 11 |
Gå til fanen Leietaker-CMK-administrasjon, der du finner følgende tre måter å administrere Leietaker-CMK-er på.
|
| 12 |
Når CMK-tilbakekallingen er vellykket, vil ikke kundeorganisasjonen lenger vises i tabellen. |
| 13 |
Hvis CMK-tilbakekalling mislykkes, vises en feilmelding. |
Test din hybride datasikkerhetsimplementering
Før du begynner
-
Konfigurer din hybride datasikkerhetsdistribusjon for flere leietakere.
-
Sørg for at du har tilgang til sysloggen for å bekrefte at nøkkelforespørsler sendes til Multi-Tenant Hybrid Data Security-distribusjonen din.
| 1 |
Nøkler for et gitt område angis av den som har opprettet området. Logg på Webex-appen som en av brukerne i kundeorganisasjonen, og opprett deretter et område. Hvis du deaktiverer distribusjonen av Hybrid Data Security, vil innhold i områder som brukere oppretter ikke lenger være tilgjengelig når de klientbufrede kopiene av krypteringsnøklene er erstattet. |
| 2 |
Send meldinger til det nye rommet. |
| 3 |
Sjekk syslog-utdataene for å bekrefte at nøkkelforespørslene sendes til Hybrid Data Security-distribusjonen din. Hvis en bruker av en nylig tillagt kundeorganisasjon utfører en handling, vil organisasjonens organisasjons-ID vises i loggene, og dette kan brukes til å bekrefte at organisasjonen bruker Multi-Tenant HDS. Sjekk verdien av |
Overvåk hybrid datasikkerhetshelse
| 1 |
I Partnerhubvelger du Tjenester fra menyen på venstre side av skjermen. |
| 2 |
I Hybrid-delen finner du Hybrid datasikkerhet og klikker på Rediger innstillinger. Siden Innstillinger for hybrid datasikkerhet vises.
|
| 3 |
I delen E-postvarsler skriver du inn én eller flere e-postadresser atskilt med komma, og trykker på Enter. |
Administrer HDS-distribusjon
Bruk oppgavene som er beskrevet her til å administrere hybrid datasikkerhetsdistribusjonen din.
Angi en tidsplan for klyngeoppgradering
Slik angir du oppgraderingsplanen:
| 1 |
Logg inn på Partner Hub. |
| 2 |
Fra menyen på venstre side av skjermen velger du Tjenester. |
| 3 |
I Hybrid-delen finner du Hybrid datasikkerhet og klikker på Konfigurer |
| 4 |
På siden Hybride datasikkerhetsressurser velger du klyngen. |
| 5 |
Klikk på fanen Klyngeinnstillinger. |
| 6 |
På siden Klyngeinnstillinger, under Oppgraderingsplan, velger du klokkeslett og tidssone for oppgraderingsplanen. Merknad: Under tidssonen vises neste tilgjengelige oppgraderingsdato og -klokkeslett. Du kan utsette oppgraderingen til neste dag om nødvendig ved å klikke på Utsett med 24 timer. |
Endre nodekonfigurasjonen
-
Endring av x.509-sertifikater på grunn av utløp eller andre årsaker.
Vi støtter ikke endring av CN-domenenavnet til et sertifikat. Domenet må samsvare med det opprinnelige domenet som ble brukt til å registrere klyngen.
-
Oppdaterer databaseinnstillinger for å endre til en kopi av PostgreSQL- eller Microsoft SQL Server-databasen.
Vi støtter ikke migrering av data fra PostgreSQL til Microsoft SQL Server, eller motsatt vei. For å bytte databasemiljø, start en ny distribusjon av Hybrid Data Security.
-
Oppretter en ny konfigurasjon for å klargjøre et nytt datasenter.
Av sikkerhetshensyn bruker Hybrid Data Security også passord for tjenestekontoer som har en levetid på ni måneder. Etter at HDS-oppsettverktøyet genererer disse passordene, distribuerer du dem til hver av HDS-nodene dine i ISO-konfigurasjonsfilen. Når organisasjonens passord nærmer seg utløpsdatoen, mottar du et varsel fra Webex-teamet om å tilbakestille passordet for maskinkontoen din. (E-posten inneholder teksten «Bruk maskinkonto-API-et til å oppdatere passordet.») Hvis passordene dine ikke er utløpt ennå, gir verktøyet deg to alternativer:
-
Myk tilbakestilling– Både det gamle og det nye passordet fungerer i opptil 10 dager. Bruk denne perioden til å gradvis erstatte ISO-filen på nodene.
-
Hard tilbakestilling– De gamle passordene slutter å virke umiddelbart.
Hvis passordene dine utløper uten tilbakestilling, påvirker det HDS-tjenesten din, og krever en umiddelbar hard tilbakestilling og erstatning av ISO-filen på alle noder.
Bruk denne prosedyren til å generere en ny ISO-konfigurasjonsfil og bruke den på klyngen din.
Før du begynner
-
HDS-oppsettverktøyet kjører som en Docker-container på en lokal maskin. For å få tilgang til den, kjør Docker på den maskinen. Oppsettprosessen krever påloggingsinformasjonen til en Partner Hub-konto med fulle administratorrettigheter for partneren.
Hvis du ikke har en Docker Desktop-lisens, kan du bruke Podman Desktop til å kjøre HDS-oppsettverktøyet for trinn 1.a til 1.e i prosedyren nedenfor. Se Kjør HDS-oppsettverktøyet med Podman Desktop for detaljer.
Hvis HDS-oppsettverktøyet kjører bak en proxy i miljøet ditt, må du oppgi proxy-innstillingene (server, port, legitimasjon) via Docker-miljøvariabler når du åpner Docker-containeren i 1.e. Denne tabellen viser noen mulige miljøvariabler:
Beskrivelse
Variabel
HTTP-proxy uten autentisering
GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORTHTTPS-proxy uten autentisering
GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORTHTTP-proxy med autentisering
GLOBAL_AGENT_HTTP_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORTHTTPS-proxy med autentisering
GLOBAL_AGENT_HTTPS_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT -
Du trenger en kopi av den gjeldende ISO-filen for konfigurasjonen for å generere en ny konfigurasjon. ISO-filen inneholder hovednøkkelen som krypterer PostgreSQL- eller Microsoft SQL Server-databasen. Du trenger ISO-filen når du gjør konfigurasjonsendringer, inkludert databaselegitimasjon, sertifikatoppdateringer eller endringer i autorisasjonspolicyen.
| 1 |
Kjør HDS-oppsettverktøyet ved hjelp av Docker på en lokal maskin. |
| 2 |
Hvis du bare har én HDS-node som kjører, oppretter du en ny virtuell maskin for hybrid datasikkerhetsnoden og registrerer den ved hjelp av den nye ISO-konfigurasjonsfilen. For mer detaljerte instruksjoner, se Opprett og registrer flere noder. |
| 3 |
For eksisterende HDS-noder som kjører den eldre konfigurasjonsfilen, monter ISO-filen. Utfør følgende prosedyre på hver node etter tur, og oppdater hver node før du slår av neste node: |
| 4 |
Gjenta trinn 3 for å erstatte konfigurasjonen på hver gjenværende node som kjører den gamle konfigurasjonen. |
Slå av blokkert ekstern DNS-oppløsningsmodus
Når du registrerer en node eller sjekker nodens proxy-konfigurasjon, tester prosessen DNS-oppslag og tilkobling til Cisco Webex-skyen. Hvis nodens DNS-server ikke kan løse offentlige DNS-navn, går noden automatisk inn i modus for blokkert ekstern DNS-løsning.
Hvis nodene dine kan løse offentlige DNS-navn gjennom interne DNS-servere, kan du slå av denne modusen ved å kjøre proxy-tilkoblingstesten på nytt på hver node.
Før du begynner
| 1 |
I en nettleser åpner du Hybrid Data Security-nodegrensesnittet (IP address/setup, For eksempel, https://192.0.2.0/setup), skriv inn administratorlegitimasjonen du har satt opp for noden, og klikk deretter på Logg på. |
| 2 |
Gå til Oversikt (standardsiden). Når den er aktivert, er Blokkert ekstern DNS-oppløsning satt til Ja. |
| 3 |
Gå til Trust Store & Proxy -side. |
| 4 |
Klikk på Sjekk proxy-tilkobling. Hvis du ser en melding som sier at ekstern DNS-løsning ikke var vellykket, klarte ikke noden å nå DNS-serveren og vil forbli i denne modusen. Ellers, etter at du har startet noden på nytt og går tilbake til siden Oversikt, bør Blokkert ekstern DNS-oppløsning settes til nei. |
Hva du skal gjøre nå
Fjern en node
| 1 |
Bruk VMware vSphere-klienten på datamaskinen din til å logge på den virtuelle ESXi-verten og slå av den virtuelle maskinen. |
| 2 |
Fjern noden: |
| 3 |
Slett den virtuelle maskinen i vSphere-klienten. (I venstre navigasjonsrute høyreklikker du på den virtuelle maskinen og klikker på Slett.) Hvis du ikke sletter den virtuelle maskinen, husk å avmontere konfigurasjons-ISO-filen. Uten ISO-filen kan du ikke bruke den virtuelle maskinen til å få tilgang til sikkerhetsdataene dine. |
Katastrofegjenoppretting ved bruk av standby-datasenter
Den viktigste tjenesten som hybrid datasikkerhetsklyngen din tilbyr, er oppretting og lagring av nøkler som brukes til å kryptere meldinger og annet innhold som er lagret i Webex-skyen. For hver bruker i organisasjonen som er tilordnet Hybrid Data Security, rutes nye forespørsler om nøkkeloppretting til klyngen. Klyngen er også ansvarlig for å returnere nøklene den har opprettet til alle brukere som er autorisert til å hente dem, for eksempel medlemmer av et samtaleområde.
Fordi klyngen utfører den kritiske funksjonen med å levere disse nøklene, er det avgjørende at klyngen forblir i gang og at det vedlikeholdes riktige sikkerhetskopier. Tap av Hybrid Data Security-databasen eller av konfigurasjons-ISO-en som brukes for skjemaet vil føre til UKJENOPPRETTBART TAP av kundeinnhold. Følgende fremgangsmåter er obligatoriske for å forhindre et slikt tap:
Hvis en katastrofe fører til at HDS-distribusjonen i det primære datasenteret blir utilgjengelig, følger du denne prosedyren for å manuelt bytte til reservedatasenteret.
Før du begynner
| 1 |
Start HDS-oppsettverktøyet og følg trinnene som er nevnt i Opprett en konfigurasjons-ISO for HDS-vertene. |
| 2 |
Etter at du har konfigurert Syslogd-serveren, klikker du på Avanserte innstillinger |
| 3 |
På siden Avanserte innstillinger legger du til konfigurasjonen nedenfor eller fjerner
|
| 4 |
Fullfør konfigurasjonsprosessen og lagre ISO-filen på et sted som er lett å finne. |
| 5 |
Lag en sikkerhetskopi av ISO-filen på ditt lokale system. Oppbevar sikkerhetskopien sikkert. Denne filen inneholder en hovedkrypteringsnøkkel for databaseinnholdet. Begrens tilgangen til kun de administratorene for hybrid datasikkerhet som skal gjøre konfigurasjonsendringer. |
| 6 |
I VMware vSphere-klientens venstre navigasjonsrute høyreklikker du på den virtuelle maskinen og klikker på Rediger innstillinger.. |
| 7 |
Klikk på Rediger innstillinger >CD/DVD Stasjon 1 og velg Datastore ISO-fil. Sørg for at Tilkoblet og Koble til ved oppstart er avmerket, slik at oppdaterte konfigurasjonsendringer kan tre i kraft etter at nodene har startet. |
| 8 |
Slå på HDS-noden og sørg for at det ikke er noen alarmer på minst 15 minutter. |
| 9 |
Gjenta prosessen for hver node i standby-datasenteret. Sjekk syslog-utdataene for å bekrefte at nodene i standby-datasenteret ikke er i passiv modus. «KMS konfigurert i passiv modus» skal ikke vises i systemloggene. |
Hva du skal gjøre nå
(Valgfritt) Avmonter ISO etter HDS-konfigurasjon
Standard HDS-konfigurasjonen kjører med ISO montert. Men noen kunder foretrekker å ikke la ISO-filer være kontinuerlig montert. Du kan avmontere ISO-filen etter at alle HDS-nodene har hentet den nye konfigurasjonen.
Du bruker fortsatt ISO-filene til å gjøre konfigurasjonsendringer. Når du oppretter en ny ISO eller oppdaterer en ISO via installasjonsverktøyet, må du montere den oppdaterte ISO-en på alle HDS-nodene dine. Når alle nodene dine har plukket opp konfigurasjonsendringene, kan du avmontere ISO-en igjen med denne prosedyren.
Før du begynner
Oppgrader alle HDS-nodene dine til versjon 2025.06.02.6983 eller nyere.
| 1 |
Slå av en av HDS-nodene dine. |
| 2 |
I vCenter Server Appliance velger du HDS-noden. |
| 3 |
Velg og fjern merket for Datastore ISO-fil. |
| 4 |
Slå på HDS-noden og sørg for at det ikke er noen alarmer på minst 20 minutter. |
| 5 |
Gjenta for hver HDS-node etter tur. |
Vis varsler og feilsøk
En hybrid datasikkerhetsdistribusjon anses som utilgjengelig hvis alle noder i klyngen ikke kan nås, eller klyngen fungerer så sakte at forespørsler blir tidsavbrutt. Hvis brukere ikke kan nå Hybrid Data Security-klyngen din, opplever de følgende symptomer:
-
Nye mellomrom kan ikke opprettes (kan ikke opprette nye nøkler)
-
Meldinger og romtitler klarer ikke å dekryptere for:
-
Nye brukere lagt til i et rom (kan ikke hente nøkler)
-
Eksisterende brukere i et område som bruker en ny klient (kan ikke hente nøkler)
-
-
Eksisterende brukere i et område vil fortsette å kjøre uten problemer så lenge klientene deres har en hurtigbuffer med krypteringsnøklene
Det er viktig at du overvåker Hybrid Data Security-klyngen din ordentlig og adresserer eventuelle varsler raskt for å unngå avbrudd i tjenesten.
Varsler
Hvis det er et problem med oppsettet av hybrid datasikkerhet, viser Partner Hub varsler til organisasjonsadministratoren og sender e-poster til den konfigurerte e-postadressen. Varslene dekker mange vanlige scenarier.
|
Varsle |
Handling |
|---|---|
|
Tilgangsfeil for lokal database. |
Sjekk for databasefeil eller problemer med det lokale nettverket. |
|
Feil på tilkobling til lokal database. |
Kontroller at databaseserveren er tilgjengelig, og at riktig tjenestekontolegitimasjon ble brukt i nodekonfigurasjonen. |
|
Feil med tilgang til skytjenesten. |
Kontroller at nodene har tilgang til Webex-serverne som angitt i Krav til ekstern tilkobling. |
|
Fornyer registrering av skytjeneste. |
Registrering til skytjenester ble droppet. Fornyelse av registreringen pågår. |
|
Registrering av skytjeneste er fjernet. |
Registrering for skytjenester er avsluttet. Tjenesten stenges ned. |
|
Tjenesten er ikke aktivert ennå. |
Aktiver HDS i Partner Hub. |
|
Det konfigurerte domenet samsvarer ikke med serversertifikatet. |
Sørg for at serversertifikatet ditt samsvarer med det konfigurerte domenet for tjenesteaktivering. Den mest sannsynlige årsaken er at sertifikatets CN nylig ble endret og nå er forskjellig fra CN-en som ble brukt under den første oppsettet. |
|
Kunne ikke autentisere mot skytjenester. |
Sjekk nøyaktighet og mulig utløpsdato for tjenestekontolegitimasjon. |
|
Kunne ikke åpne den lokale nøkkellagerfilen. |
Sjekk integriteten og passordnøyaktigheten på den lokale nøkkellagerfilen. |
|
Det lokale serversertifikatet er ugyldig. |
Sjekk utløpsdatoen for serversertifikatet og bekreft at det ble utstedt av en pålitelig sertifiseringsinstans. |
|
Kan ikke legge ut målinger. |
Sjekk lokal nettverkstilgang til eksterne skytjenester. |
|
/media/configdrive/hds katalogen finnes ikke. |
Sjekk ISO-monteringskonfigurasjonen på den virtuelle verten. Bekreft at ISO-filen finnes, at den er konfigurert til å monteres ved omstart, og at den monteres uten problemer. |
|
Oppsettet av leietakerorganisasjonen er ikke fullført for de tillagte organisasjonene. |
Fullfør oppsettet ved å opprette CMK-er for nylig tillagte leietakerorganisasjoner ved hjelp av HDS Setup Tool. |
|
Oppsettet av leietakerorganisasjonen er ikke fullført for de fjernede organisasjonene. |
Fullfør oppsettet ved å tilbakekalle CMK-er for leietakerorganisasjoner som ble fjernet ved hjelp av HDS Setup Tool. |
Feilsøking av hybrid datasikkerhet
| 1 |
Logg inn på Partner Hub. |
| 2 |
Fra menyen på venstre side av skjermen velger du Tjenester. |
| 3 |
I Hybrid-delen finner du Hybrid datasikkerhet og klikker på Hendelser. |
| 4 |
Se gjennom hendelseshistorikksiden for varsler og fiks eventuelle elementer du finner der. Se bildet nedenfor som referanse. |
| 5 |
Se gjennom syslog-serverutdataene for aktivitet fra Hybrid Data Security-distribusjonen. Filtrer etter ord som «Advarsel» og «Feil» for å hjelpe til med feilsøking. |
| 6 |
Kontakt Cisco-kundestøtte. |
HDS-utvikler-API-er
HDS Developer API-ene er en måte å hente analyse- og overvåkingsdata på, samt feilsøke HDS-distribusjonene dine via Webex Developer Portal. API-ene er tilgjengelige på https://developer.webex.com/messaging/docs/api/v1/hds.
Kjente problemer for hybrid datasikkerhet
-
Hvis du slår av alle dine aktive Hybrid Data Security-klynger (ved å slette dem i Partner Hub eller ved å slå av alle noder), mister konfigurasjons-ISO-filen eller mister tilgang til nøkkellagerdatabasen, kan ikke Webex-appbrukere av kundeorganisasjoner lenger bruke mellomrom under personlisten sin som ble opprettet med nøkler fra KMS-systemet ditt. Vi har for øyeblikket ingen løsning eller løsning på dette problemet, og vi oppfordrer deg til ikke å stenge ned HDS-tjenestene dine når de håndterer aktive brukerkontoer.
-
En klient som har en eksisterende ECDH-tilkobling til et KMS, opprettholder denne tilkoblingen i en periode (sannsynligvis én time).
Kjør HDS Setup-verktøyet med Podman Desktop
Podman er et gratis og åpen kildekode-verktøy for containeradministrasjon som gir en måte å kjøre, administrere og opprette containere på. Podman Desktop kan lastes ned fra https://podman-desktop.io/downloads.
-
HDS-oppsettverktøyet kjører som en Docker-container på en lokal maskin. For å få tilgang til den, last ned og kjør Podman på den maskinen. Konfigurasjonsprosessen krever legitimasjonen til en Control Hub-konto med fulle administratorrettigheter for organisasjonen din.
Hvis HDS-oppsettverktøyet kjører bak en proxy i miljøet ditt, må du oppgi proxy-innstillingene (server, port, legitimasjon) via Docker-miljøvariabler når du åpner Docker-containeren i trinn 5. Denne tabellen viser noen mulige miljøvariabler:
Beskrivelse
Variabel
HTTP-proxy uten autentisering
GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORTHTTPS-proxy uten autentisering
GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORTHTTP-proxy med autentisering
GLOBAL_AGENT_HTTP_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORTHTTPS-proxy med autentisering
GLOBAL_AGENT_HTTPS_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT -
Konfigurasjons-ISO-filen du genererer inneholder hovednøkkelen som krypterer PostgreSQL- eller Microsoft SQL Server-databasen. Du trenger den nyeste kopien av denne filen hver gang du gjør konfigurasjonsendringer, som disse:
-
Databaselegitimasjon
-
Sertifikatoppdateringer
-
Endringer i autorisasjonspolicyen
-
-
Hvis du planlegger å kryptere databasetilkoblinger, må du konfigurere PostgreSQL- eller SQL Server-distribusjonen din for TLS.
Konfigurasjonsprosessen for hybrid datasikkerhet oppretter en ISO-fil. Deretter bruker du ISO-filen til å konfigurere Hybrid Data Security-verten din.
| 1 |
Skriv inn riktig kommando for miljøet ditt på maskinens kommandolinje: I vanlige miljøer: I FedRAMP-miljøer: Dette trinnet rydder opp i tidligere bilder av HDS-oppsettverktøyet. Hvis det ikke finnes noen tidligere bilder, returnerer den en feil som du kan ignorere. |
| 2 |
For å logge på Docker-avbildningsregisteret, skriv inn følgende: |
| 3 |
Ved passordledeteksten skriver du inn denne hashen: |
| 4 |
Last ned det nyeste stabile bildet for miljøet ditt: I vanlige miljøer: I FedRAMP-miljøer: |
| 5 |
Når hentingen er fullført, skriver du inn riktig kommando for miljøet ditt:
Når containeren kjører, ser du «Express-server lytter på port 8080». Installasjonsverktøyet støtter ikke tilkobling til localhost via http://localhost:8080. Bruk http://127.0.0.1:8080 for å koble til localhost. |
Hva du skal gjøre nå
Flytt den eksisterende HDS-distribusjonen med én leietaker fra en partnerorganisasjon i Control Hub til et HDS-oppsett med flere leietakere i Partner Hub
Konverteringen fra en eksisterende HDS-distribusjon med én leier i en partnerorganisasjon administrert i Control Hub til en HDS-distribusjon med flere leiere administrert i Partner Hub innebærer hovedsakelig å deaktivere HDS-tjenesten i Control Hub, avregistrere noder og slette klyngen. Deretter kan du logge inn på Partner Hub, registrere nodene, aktivere Multi-Tenant HDS og legge til kunder i klyngen din.
Begrepet «enkeltleietaker» refererer ganske enkelt til en eksisterende HDS-distribusjon i Control Hub.
Deaktiver HDS, avregistrer noder og slett alle klynger i Control Hub
| 1 |
Logg inn på Kontrollhub. Klikk på Hybridi venstre rute. Klikk på Rediger innstillingerpå Hybrid Data Security-kortet. |
| 2 |
På innstillingssiden blar du ned til Deaktiver-delen og klikker på Deaktiver. |
| 3 |
Etter deaktivering, klikk på fanen Ressurser. |
| 4 |
Siden Ressurser viser en liste over klynger i HDS-distribusjonen din. Klikk på en klynge, så åpnes en side med alle noder under den klyngen. |
| 5 |
Klikk på |
| 6 |
Hvis distribusjonen din har flere klynger, gjenta trinn 4 og trinn 5 til alle noder er avregistrert. |
| 7 |
Klikk på Klyngeinnstillinger > Fjern. |
| 8 |
Klikk på Bekreft fjerning for å avregistrere klyngen. |
| 9 |
Gjenta prosessen for alle klynger i HDS-distribusjonen din. Etter deaktivering av HDS, avregistrering av noder og fjerning av klynger, vil Hybrid Data Service-kortet på Control Hub ha Oppsettet ikke fullført vist nederst. |
Aktiver Multi-Tenant HDS for partnerorganisasjonen på Partner Hub og legg til kunder
Før du begynner
Alle forutsetningene nevnt i Krav til hybrid datasikkerhet for flere leietakere gjelder her. I tillegg må du sørge for at samme database og sertifikater brukes under overføringen til Multi-Tenant HDS.
| 1 |
Logg inn på Partner Hub. Klikk på Tjenester i venstre rute. Bruk den samme ISO-en fra den forrige HDS-distribusjonen din til å konfigurere nodene. Dette vil sikre at meldinger og innhold generert av brukerne i den forrige eksisterende HDS-distribusjonen fortsatt er tilgjengelig i det nye oppsettet for flere leietakere. |
| 2 |
I Hybrid-delen finner du Hybrid Data Security-kortet og klikker på Konfigurer. |
| 3 |
På siden som åpnes, klikk på Legg til en ressurs. |
| 4 |
I det første feltet på kortet Opprett en klynge skriver du inn et navn på klyngen du vil tilordne Hybrid Data Security-noden til. Vi anbefaler at du navngir en klynge basert på hvor nodene i klyngen befinner seg geografisk. Eksempler: «San Francisco» eller «New York» eller «Dallas» |
| 5 |
I det andre feltet skriver du inn den interne IP-adressen eller det fullstendig kvalifiserte domenenavnet (FQDN) til noden din og klikker på Legg til nederst på skjermen. Denne IP-adressen eller FQDN-en skal samsvare med IP-adressen eller vertsnavnet og domenet du brukte i Konfigurer den hybride virtuelle datamaskinen for datasikkerhet. Det vises en melding som angir at du kan registrere noden din i Webex.
|
| 6 |
Klikk på Gå til node. Etter noen få øyeblikk blir du omdirigert til nodetilkoblingstestene for Webex-tjenester. Hvis alle testene er vellykkede, vises siden Tillat tilgang til hybrid datasikkerhetsnode. Der bekrefter du at du vil gi Webex-organisasjonen din tillatelse til å få tilgang til noden din. |
| 7 |
Merk av i boksen Tillat tilgang til hybrid datasikkerhetsnode, og klikk deretter på Fortsett. Kontoen din er validert, og meldingen «Registrering fullført» indikerer at noden din nå er registrert i Webex Cloud. På siden Hybrid datasikkerhet vises den nye klyngen som inneholder noden du registrerte, under fanen Ressurser. Noden vil automatisk laste ned den nyeste programvaren fra skyen.
|
| 8 |
Gå til fanen Innstillinger og klikk på Aktiver på HDS-statuskortet. Meldingen om aktivert HDS vises nederst på skjermen.
|
| 9 |
Klikk på fanen Tildelte kunder. |
| 10 |
Klikk på Legg til kunder. |
| 11 |
Velg kunden du vil legge til fra rullegardinmenyen. |
| 12 |
Klikk på Legg til, kunden vil bli lagt til i klyngen. |
| 13 |
Gjenta trinn 11 til 13 for å legge til flere kunder i klyngen din. |
| 14 |
Klikk på Ferdig nederst på skjermen når du har lagt til kundene. |
Hva du skal gjøre nå
Bruk OpenSSL til å generere en PKCS12-fil
Før du begynner
-
OpenSSL er et verktøy som kan brukes til å lage PKCS12-filen i riktig format for lasting i HDS Setup Tool. Det finnes andre måter å gjøre dette på, og vi støtter eller fremmer ikke én måte fremfor en annen.
-
Hvis du velger å bruke OpenSSL, tilbyr vi denne prosedyren som en veiledning for å hjelpe deg med å opprette en fil som oppfyller X.509-sertifikatkravene i X.509-sertifikatkrav. Forstå disse kravene før du fortsetter.
-
Installer OpenSSL i et støttet miljø. Se https://www.openssl.org for programvare og dokumentasjon.
-
Opprett en privat nøkkel.
-
Start denne prosedyren når du mottar serversertifikatet fra sertifiseringsinstansen din (CA).
| 1 |
Når du mottar serversertifikatet fra CA-en din, lagrer du det som |
| 2 |
Vis sertifikatet som tekst, og bekreft detaljene.
|
| 3 |
Bruk en teksteditor til å opprette en sertifikatpakkefil kalt
|
| 4 |
Opprett .p12-filen med det egendefinerte navnet
|
| 5 |
Sjekk detaljene for serversertifikatet. |
Hva du skal gjøre nå
Gå tilbake til Fullfør forutsetningene for hybrid datasikkerhet. Du bruker hdsnode.p12 -filen og passordet du har angitt for den i Opprett en konfigurasjons-ISO for HDS-vertene.
Du kan bruke disse filene på nytt for å be om et nytt sertifikat når det opprinnelige sertifikatet utløper.
Trafikk mellom HDS-nodene og skyen
Utgående målinger Innsamling av trafikk
Hybrid datasikkerhetsnodene sender visse målinger til Webex-skyen. Disse inkluderer systemmålinger for heap maks, heap brukt, CPU-belastning og trådantall; målinger på synkrone og asynkrone tråder; målinger på varsler som involverer en terskel for krypteringstilkoblinger, latens eller en forespørselskølengde; målinger på datalageret; og målinger for krypteringstilkoblinger. Nodene sender kryptert nøkkelmateriale over en out-of-band (separat fra forespørselen) kanal.
Innkommende trafikk
Hybride datasikkerhetsnoder mottar følgende typer innkommende trafikk fra Webex-skyen:
-
Krypteringsforespørsler fra klienter, som rutes av krypteringstjenesten
-
Oppgraderinger til nodeprogramvaren
Konfigurer Squid-proxyer for hybrid datasikkerhet
Websocket kan ikke koble til via Squid-proxyen
Squid-proxyer som inspiserer HTTPS-trafikk kan forstyrre etableringen av websocket (wss:)-tilkoblinger som Hybrid Data Security krever. Disse avsnittene gir veiledning om hvordan du konfigurerer ulike versjoner av Squid til å ignorere wss: -trafikk for at tjenestene skal fungere som de skal.
Blekksprut 4 og 5
Legg til on_unsupported_protocol -direktivet i squid.conf:
on_unsupported_protocol tunnel allBlekksprut 3.5.27
Vi testet hybrid datasikkerhet med følgende regler lagt til i squid.conf. Disse reglene kan endres etter hvert som vi utvikler funksjoner og oppdaterer Webex-skyen.
acl wssMercuryConnection ssl::server_name_regex mercury-connection
ssl_bump splice wssMercuryConnection
acl step1 at_step SslBump1
acl step2 at_step SslBump2
acl step3 at_step SslBump3
ssl_bump peek step1 all
ssl_bump stare step2 all
ssl_bump bump step3 allNy og endret informasjon
Denne tabellen dekker nye funksjoner eller funksjonalitet, endringer i eksisterende innhold og eventuelle større feil som ble rettet i Distribusjonsveiledningen for hybrid datasikkerhet for flere leietakere.
|
Dato |
Endringer gjort |
|---|---|
| 23. juni 2026 |
|
| 1. juni 2026 |
|
| 16. april 2026 |
|
| 25. mars 2026 |
|
|
5. desember 2025 |
|
|
21. november 2025 |
|
|
8. mai 2025 |
|
| 4. mars 2025 |
|
|
30. januar 2025 |
La til SQL Server versjon 2022 i listen over støttede SQL-servere i Krav til databaseserver. |
|
15. januar 2025 |
Lagt til Begrensninger for hybrid datasikkerhet med flere leietakere. |
|
8. januar 2025 |
La til et notat i Utfør første oppsett og last ned installasjonsfiler som sier at det å klikke på Konfigurer på HDS-kortet i Partner Hub er et viktig trinn i installasjonsprosessen. |
|
7. januar 2025 |
Oppdaterte Krav til virtuell vert, Oppgaveflyt for distribusjon av hybrid datasikkerhetog Installer HDS-verten OVA for å vise de nye kravene til ESXi 7.0. |
|
13. desember 2024 |
Først publisert. |
Oppgaveflyt for deaktivering av HDS for flere leietakere
Følg disse trinnene for å deaktivere HDS med flere leietakere fullstendig.
Før du begynner
| 1 |
Fjern alle kunder fra alle klyngene dine, som nevnt i Fjern leietakerorganisasjoner. |
| 2 |
Tilbakekalle CMK-ene til alle kunder, som nevnt i Tilbakekalle CMK-er for leietakere fjernet fra HDS.. |
| 3 |
Fjern alle noder fra alle klyngene dine, som nevnt i Fjern en node. |
| 4 |
Slett alle klyngene dine fra Partner Hub ved hjelp av én av følgende to metoder.
|
| 5 |
Klikk på fanen Innstillinger på oversiktssiden for hybrid datasikkerhet, og klikk på Deaktiver HDS på HDS-statuskortet. |
Ofte stilte spørsmål
Q. Lagres CMK-ene og hovednøkkelen i ISO-filen eller i databasen?
EN. Kundens hovednøkler (CMK-er) lagres i databasen og krypteres med hovednøkkelen, som er lagret i ISO-en.
Q. Brukes én nøkkel til å kryptere alle dataene til kundeorganisasjoner?
EN. Nei. Hver kundeorganisasjons data er kryptert med sin egen CMK (kundens hovednøkkel).
Q. Hva skjer hvis jeg deaktiverer HDS fra Partner Hub?
EN. Enkelte operasjoner, som å opprette et lokale og planlegge møter, vil bli påvirket umiddelbart. Eksisterende innhold i rom vil være tilgjengelig inntil den lokale hurtigbufferen utløper. Etter 24 timer vil brukere som administreres av partneren bytte til Cloud KMS, og det kan oppstå problemer med tidligere opprettede områder og én-til-én-områder.
Q. Når CMK-en er generert for en kundeorganisasjon via HDS-oppsettverktøyet, begynner brukerne av kundeorganisasjonen umiddelbart å bruke Multi-Tenant HDS?
EN. Det kan være en maksimal forsinkelse på 24 timer før skybufferen oppdateres.
Q. Hvorfor ser jeg ikke en liste over kunder når jeg klikker på «Legg til kunder»-knappen i Partner Hub?
EN. Dette betyr vanligvis at det ikke finnes noen kundeorganisasjoner som oppfyller Cisco Webex-lisenskravene.
Spørsmål: Hva blir konsekvensen hvis alle HDS-noder stenges ned, eller hvis et nettverksproblem påvirker alle HDS-noder?
EN. Operasjoner som å opprette rom og planlegge møter påvirkes umiddelbart. Eksisterende innhold er bare tilgjengelig inntil den lokale hurtigbufferen utløper.
Q. Er partnerorganisasjonens brukerdata kryptert med hovednøkkelen som ble generert under ISO-opprettelsen?
EN. Ja. For øyeblikket er partnerorganisasjonens brukerdata kryptert med hovednøkkelen. I fremtiden vil partnerorganisasjoner ha partnerspesifikke nøkler, i likhet med kundenes CMK-er.
Spørsmål: Kan partnerorganisasjonen og leietakerorganisasjonene være i forskjellige regioner (for eksempel USA og EU)?
EN. Ja. Partner- og leietakerorganisasjoner kan være lokalisert i forskjellige geografiske regioner.
Spørsmål: Finnes det noen mekanisme for å flytte nøkler tilbake til Cloud KMS?
EN. Det finnes ingen mekanisme for å flytte nøkler tilbake til skyen etter en HDS-distribusjon.
Spørsmål: Kan en partner fortsette å bruke Cloud KMS og utelukkende bruke Multi-Tenant HDS til å administrere kunder?
EN. Nei, dette støttes ikke for øyeblikket. Støtte for denne funksjonaliteten er planlagt for fremtiden.
Spørsmål: Hvordan kan en partner bekrefte at organisasjonen deres bruker Multi-Tenant HDS for kryptering?
EN. Logg inn på Partner Hub. Gå til Tjenester > Hybrid datasikkerhet > Innstillinger . Hvis HDS-status er aktivert, bruker brukere av partnerorganisasjonen samt tildelte kunder HDS med flere leietakere.
Alternativt kan du sjekke sysloggene dine for å bekrefte at HDS er aktivert. Se Test hybrid datasikkerhetsimplementering.
Spørsmål: Finnes det et alternativ til Docker Desktop for å kjøre HDS-oppsettverktøyet?
EN. Ja. Podman Desktop er et åpen kildekode-alternativ til Docker Desktop. Se Kjør HDS-oppsettverktøyet med Podman Desktop.
Q. Hvor mange noder kan jeg distribuere i en HDS-klynge med flere leietakere?
EN. Vi anbefaler minimum to noder og maksimum 1000.
Q. Hva er nettverkskravene som kreves for å sette opp Multi-Tenant HDS?
EN. Se Krav til ekstern tilkobling.
Q. Er Pro Pack for Control Hub et krav for partnerorganisasjoner?
EN. Nei. Pro Pack er ikke et krav for partnerorganisasjoner. Kontakt Cisco-partneren eller kontoansvarlig for å få hjelp med å konfigurere Multi-Tenant HDS.
Spørsmål: Støttes HSM i HDS med flere leietakere?
EN. Nei, for øyeblikket støtter ikke Multi-Tenant HDS HSM.
Q. Kan jeg teste flerbruker-HDS med et selvsignert sertifikat?
EN. Nei. Multi-Tenant HDS krever et sertifikat hentet fra en klarert CA som oppfyller alle kravene nevnt i X.509-sertifikatkrav.
Spørsmål: Er det nødvendig å montere ISO-en hver gang en ny kunde legges til i Partner Hub?
EN. Nei. ISO-en trenger bare å monteres når du endrer ISO-konfigurasjoner. Når du legger til en ny kunde i Partner Hub, må du sørge for at du kan opprette CMK-er ved hjelp av HDS-oppsettverktøyet. Se Opprett kundens hovednøkler (CMK-er) ved hjelp av HDS-oppsettverktøyet.
Q. Etter at Multi-Tenant HDS er distribuert på Partner Hub, begynner brukere av partnerorganisasjonen å bruke lokale KMS for nøkkeladministrasjon?
EN. Brukere vil bare begynne å bruke lokale KMS for nøkkeladministrasjon etter at HDS er aktivert i Partner Hub.
Oversikt over hybrid datasikkerhet for flere leietakere
Fra dag én har datasikkerhet vært hovedfokuset i utformingen av Webex-appen. Hjørnesteinen i denne sikkerheten er ende-til-ende-innholdskryptering, aktivert av Webex-appklienter som samhandler med nøkkelhåndteringstjenesten (KMS). KMS-et er ansvarlig for å opprette og administrere kryptografiske nøkler som klienter bruker til å dynamisk kryptere og dekryptere meldinger og filer.
Som standard får alle Webex-appkunder ende-til-ende-kryptering med dynamiske nøkler lagret i sky-KMS, i Ciscos sikkerhetsområde. Hybrid datasikkerhet flytter KMS-systemet og andre sikkerhetsrelaterte funksjoner til bedriftens datasenter, slik at ingen andre enn deg har nøklene til det krypterte innholdet.
Hybrid datasikkerhet for flere leietakere lar organisasjoner utnytte HDS gjennom en pålitelig lokal partner, som kan fungere som en tjenesteleverandør og administrere lokal kryptering og andre sikkerhetstjenester. Dette oppsettet gir partnerorganisasjonen full kontroll over distribusjon og administrasjon av krypteringsnøkler og sikrer at brukerdata fra kundeorganisasjoner er trygge fra ekstern tilgang. Partnerorganisasjoner setter opp HDS-instanser og oppretter HDS-klynger etter behov. Hver instans kan støtte flere kundeorganisasjoner, i motsetning til en vanlig HDS-distribusjon som er begrenset til én enkelt organisasjon.
Dette gjør det også mulig for mindre organisasjoner å utnytte HDS, siden nøkkelhåndteringstjenester og sikkerhetsinfrastruktur som datasentre eies av den pålitelige lokale partneren.
Hvordan hybrid datasikkerhet med flere leietakere gir datasuverenitet og datakontroll
- Brukergenerert innhold er beskyttet mot ekstern tilgang, som fra skytjenesteleverandører.
- Lokale betrodde partnere administrerer krypteringsnøklene til kunder de allerede har et etablert forhold til.
- Mulighet for lokal teknisk støtte, hvis partneren tilbyr dette.
- Støtter møter, meldinger og samtaleinnhold.
Dette dokumentet har som mål å hjelpe partnerorganisasjoner med å sette opp og administrere kunder under et hybrid datasikkerhetssystem for flere leietakere.
Begrensninger ved hybrid datasikkerhet for flere leietakere
- Partnerorganisasjoner må ikke ha noen eksisterende HDS-distribusjon aktiv i Control Hub.
- Leietaker- eller kundeorganisasjoner som ønsker å bli administrert av en partner, må ikke ha noen eksisterende HDS-distribusjon i Control Hub.
- Når Multi-Tenant HDS er distribuert av partneren, begynner alle brukere av kundeorganisasjoner samt brukere av partnerorganisasjonen å bruke Multi-Tenant HDS for sine krypteringstjenester.
Partnerorganisasjonen og kundeorganisasjonene de administrerer vil være på samme Multi-Tenant HDS-distribusjon.
Partnerorganisasjonen vil ikke lenger bruke skybasert KMS etter at Multi-Tenant HDS er distribuert.
- Det finnes ingen mekanisme for å flytte nøkler tilbake til Cloud KMS etter en HDS-distribusjon.
- Administratorroller har visse begrensninger. Se avsnittet nedenfor for detaljer.
Roller i hybrid datasikkerhet med flere leietakere
- Fullstendig partneradministrator – Kan administrere innstillinger for alle kunder som partneren administrerer. Kan også tilordne administratorroller til eksisterende brukere i organisasjonen og tilordne bestemte kunder som skal administreres av partneradministratorer.
- Partneradministrator – Kan administrere innstillinger for kunder som administratoren har klargjort eller som er tilordnet brukeren.
- Full administrator – Administrator for partnerorganisasjonen som er autorisert til å utføre oppgaver som å endre organisasjonsinnstillinger, administrere lisenser og tildele roller.
- Oppsett og administrasjon av komplett HDS for flere leietakere for alle kundeorganisasjoner – Full administratorrettigheter for partnere kreves.
- Administrasjon av tildelte leietakerorganisasjoner - Partneradministrator og fulle administratorrettigheter kreves.
Sikkerhetsrikets arkitektur
Webex-skyarkitekturen skiller ulike typer tjenester inn i separate områder, eller tillitsdomener, som vist nedenfor.
For å forstå hybrid datasikkerhet bedre, la oss først se på dette rene skytilfellet, der Cisco tilbyr alle funksjoner i skyverdenen sin. Identitetstjenesten, det eneste stedet hvor brukere kan bli direkte korrelert med sin personlige informasjon, som for eksempel e-postadresse, er logisk og fysisk atskilt fra sikkerhetsområdet i datasenter B. Begge er igjen atskilt fra området der kryptert innhold til slutt lagres, i datasenter C.
I dette diagrammet er klienten Webex-appen som kjører på en brukers bærbare datamaskin, og som har autentisert seg med identitetstjenesten. Når brukeren skriver en melding som skal sendes til et rom, skjer følgende trinn:
-
Klienten oppretter en sikker forbindelse med nøkkelhåndteringstjenesten (KMS), og ber deretter om en nøkkel for å kryptere meldingen. Den sikre forbindelsen bruker ECDH, og KMS krypterer nøkkelen med en AES-256-hovednøkkel.
-
Meldingen krypteres før den forlater klienten. Klienten sender den til indekseringstjenesten, som oppretter krypterte søkeindekser for å hjelpe til med fremtidige søk etter innholdet.
-
Den krypterte meldingen sendes til samsvarstjenesten for samsvarskontroller.
-
Den krypterte meldingen lagres i lagringsområdet.
Når du distribuerer hybrid datasikkerhet, flytter du sikkerhetsfunksjonene (KMS, indeksering og samsvar) til ditt lokale datasenter. De andre skytjenestene som utgjør Webex (inkludert identitets- og innholdslagring) forblir i Ciscos område.
Samarbeid med andre organisasjoner
Brukere i organisasjonen din kan regelmessig bruke Webex-appen til å samarbeide med eksterne deltakere i andre organisasjoner. Når en av brukerne dine ber om en nøkkel til et område som eies av organisasjonen din (fordi det ble opprettet av en av brukerne dine), sender KMS-systemet ditt nøkkelen til klienten via en ECDH-sikret kanal. Men når en annen organisasjon eier nøkkelen for plassen, ruter KMS-systemet ditt forespørselen ut til Webex-skyen gjennom en separat ECDH-kanal for å hente nøkkelen fra det aktuelle KMS-systemet, og returnerer deretter nøkkelen til brukeren din på den opprinnelige kanalen.
KMS-tjenesten som kjører på organisasjon A validerer tilkoblingene til KMS-er i andre organisasjoner ved hjelp av x.509 PKI-sertifikater. Se Klargjør miljøet ditt for detaljer om hvordan du genererer et x.509-sertifikat som skal brukes med din Multi-Tenant Hybrid Data Security-distribusjon.
Forventninger til implementering av hybrid datasikkerhet
En implementering av hybrid datasikkerhet krever betydelig forpliktelse og en bevissthet om risikoene som følger med å eie krypteringsnøkler.
For å implementere hybrid datasikkerhet må du oppgi:
-
Et sikkert datasenter i et land som er et støttet sted for Cisco Webex Teams-abonnementene.
-
Utstyret, programvaren og nettverkstilgangen som er beskrevet i Klargjør miljøet ditt.
Fullstendig tap av enten konfigurasjons-ISO-en du bygger for Hybrid Data Security eller databasen du oppgir, vil føre til tap av nøklene. Nøkkeltap hindrer brukere i å dekryptere plassinnhold og andre krypterte data i Webex-appen. Hvis dette skjer, kan du bygge en ny distribusjon, men bare nytt innhold vil være synlig. For å unngå tap av tilgang til data, må du:
-
Administrer sikkerhetskopiering og gjenoppretting av databasen og konfigurasjons-ISO-en.
-
Vær forberedt på å utføre rask katastrofegjenoppretting hvis en katastrofe inntreffer, for eksempel feil på databasedisken eller datasenterkatastrofe.
Det finnes ingen mekanisme for å flytte nøkler tilbake til skyen etter en HDS-distribusjon.
Høynivåoppsettprosess
Dette dokumentet dekker oppsett og administrasjon av en hybrid datasikkerhetsdistribusjon med flere leietakere:
-
Konfigurer hybrid datasikkerhet– Dette inkluderer å forberede nødvendig infrastruktur og installere hybrid datasikkerhetsprogramvare, bygge en HDS-klynge, legge til leietakerorganisasjoner i klyngen og administrere kundens hovednøkler (CMK-er). Dette vil gjøre det mulig for alle brukere i kundeorganisasjonene dine å bruke hybriddatasikkerhetsklyngen din til sikkerhetsfunksjoner.
Oppsett-, aktiverings- og administrasjonsfasene dekkes i detalj i de neste tre kapitlene.
-
Vedlikehold din hybride datasikkerhetsdistribusjon– Webex-skyen tilbyr automatisk kontinuerlige oppgraderinger. IT-avdelingen din kan tilby støtte på nivå én for denne utrullingen, og engasjere Cisco-støtte etter behov. Du kan bruke varsler på skjermen og konfigurere e-postbaserte varsler i Partner Hub.
-
Forstå vanlige varsler, feilsøkingstrinn og kjente problemer– Hvis du støter på problemer med å distribuere eller bruke Hybrid Data Security, kan det siste kapittelet i denne veiledningen og tillegget om kjente problemer hjelpe deg med å finne og løse problemet.
Hybrid distribusjonsmodell for datasikkerhet
Innenfor bedriftens datasenter distribuerer du Hybrid Data Security som en enkelt klynge av noder på separate virtuelle verter. Nodene kommuniserer med Webex-skyen via sikre websockets og sikker HTTP.
Under installasjonsprosessen gir vi deg OVA-filen for å konfigurere den virtuelle enheten på de virtuelle maskinene du stiller til rådighet. Du bruker HDS-oppsettverktøyet til å opprette en tilpasset ISO-fil for klyngekonfigurasjon som du monterer på hver node. Hybrid Data Security-klyngen bruker den oppgitte Syslogd-serveren og PostgreSQL- eller Microsoft SQL Server-databasen. (Du konfigurerer Syslogd og databasetilkoblingsdetaljene i HDS-oppsettverktøyet.)
Minimum antall noder du kan ha i en klynge er to. Vi anbefaler minst tre per klynge. Å ha flere noder sikrer at tjenesten ikke avbrytes under en programvareoppgradering eller annen vedlikeholdsaktivitet på en node. (Webex-skyen oppgraderer bare én node om gangen.)
Alle noder i en klynge har tilgang til det samme nøkkeldatalageret og logger aktivitet til den samme syslog-serveren. Selve nodene er statsløse og håndterer viktige forespørsler i runde-robin-modus, som anvist av skyen.
Noder blir aktive når du registrerer dem i Partner Hub. For å ta en individuell node ut av drift, kan du avregistrere den og senere registrere den på nytt om nødvendig.
Standby-datasenter for katastrofegjenoppretting
Under utrullingen setter du opp et sikkert reservedatasenter. I tilfelle en datasenterkatastrofe kan du manuelt overføre utrullingen til reservedatasenteret.
Databasene til de aktive og standby-datasentrene er synkroniserte med hverandre, noe som vil minimere tiden det tar å utføre failover.
De aktive Hybrid Data Security-nodene må alltid være i samme datasenter som den aktive databaseserveren.
Sett opp et reservedatasenter for katastrofegjenoppretting
Følg trinnene nedenfor for å konfigurere ISO-filen til standby-datasenteret:
Før du begynner
-
Standby-datasenteret bør speile produksjonsmiljøet til virtuelle maskiner og en sikkerhetskopi av PostgreSQL- eller Microsoft SQL Server-database. Hvis for eksempel produksjonen har 3 virtuelle maskiner som kjører HDS-noder, bør sikkerhetskopieringsmiljøet ha 3 virtuelle maskiner. (Se Standby-datasenter for katastrofegjenoppretting for en oversikt over denne failover-modellen.)
-
Sørg for at databasesynkronisering er aktivert mellom databasen til aktive og passive klyngenoder.
| 1 |
Start HDS-oppsettverktøyet og følg trinnene som er nevnt i Opprett en konfigurasjons-ISO for HDS-vertene. ISO-filen må være en kopi av den originale ISO-filen til det primære datasenteret som følgende konfigurasjonsoppdateringer skal gjøres på. |
| 2 |
Etter at du har konfigurert Syslogd-serveren, klikker du på Avanserte innstillinger |
| 3 |
På siden Avanserte innstillinger legger du til konfigurasjonen nedenfor for å sette noden i passiv modus. I denne modusen vil noden være registrert i organisasjonen og koblet til skyen, men vil ikke håndtere noen trafikk.
|
| 4 |
Fullfør konfigurasjonsprosessen og lagre ISO-filen på et sted som er lett å finne. |
| 5 |
Lag en sikkerhetskopi av ISO-filen på ditt lokale system. Oppbevar sikkerhetskopien sikkert. Denne filen inneholder en hovedkrypteringsnøkkel for databaseinnholdet. Begrens tilgangen til kun de administratorene for hybrid datasikkerhet som skal gjøre konfigurasjonsendringer. |
| 6 |
I VMware vSphere-klientens venstre navigasjonsrute høyreklikker du på den virtuelle maskinen og klikker på Rediger innstillinger.. |
| 7 |
Klikk på Rediger innstillinger >CD/DVD Stasjon 1 og velg Datastore ISO-fil. Sørg for at Tilkoblet og Koble til ved oppstart er avmerket, slik at oppdaterte konfigurasjonsendringer kan tre i kraft etter at nodene har startet. |
| 8 |
Slå på HDS-noden og sørg for at det ikke er noen alarmer på minst 15 minutter. |
| 9 |
Gjenta prosessen for hver node i standby-datasenteret. Sjekk sysloggene for å bekrefte at nodene er i passiv modus. Du skal kunne se meldingen «KMS konfigurert i passiv modus» i sysloggene. |
Hva du skal gjøre nå
Etter at du har konfigurert passiveMode i ISO-filen og lagret den, kan du opprette en ny kopi av ISO-filen uten passiveMode -konfigurasjonen og lagre den på et sikkert sted. Denne kopien av ISO-filen uten passiveMode konfigurert kan bidra til en rask failover-prosess under katastrofegjenoppretting. Se Katastrofegjenoppretting ved bruk av Standby Data Center for den detaljerte failover-prosedyren.
Proxy-støtte
Hybrid datasikkerhet støtter eksplisitte, transparente inspiserende og ikke-inspiserende proxyer. Du kan knytte disse proxy-tjenerne til distribusjonen din, slik at du kan sikre og overvåke trafikk fra bedriften og ut til skyen. Du kan bruke et plattformadministratorgrensesnitt på nodene for sertifikatadministrasjon og for å sjekke den generelle tilkoblingsstatusen etter at du har konfigurert proxyen på nodene.
Hybrid Data Security-nodene støtter følgende proxy-alternativer:
-
Ingen proxy– Standardinnstillingen hvis du ikke bruker HDS-nodeoppsettet Trust Store & Proxy-konfigurasjon for å integrere en proxy. Ingen sertifikatoppdatering er nødvendig.
-
Transparent ikke-inspiserende proxy– Nodene er ikke konfigurert til å bruke en spesifikk proxy-serveradresse og skal ikke kreve noen endringer for å fungere med en ikke-inspiserende proxy. Ingen sertifikatoppdatering er nødvendig.
-
Transparent tunnelering eller inspeksjon av proxy– Nodene er ikke konfigurert til å bruke en spesifikk proxy-serveradresse. Ingen endringer i HTTP- eller HTTPS-konfigurasjonen er nødvendige på nodene. Nodene trenger imidlertid et rotsertifikat slik at de stoler på proxyen. Inspeksjon av proxyer brukes vanligvis av IT for å håndheve retningslinjer for hvilke nettsteder som kan besøkes og hvilke typer innhold som ikke er tillatt. Denne typen proxy dekrypterer all trafikken din (til og med HTTPS).
-
Eksplisitt proxy– Med eksplisitt proxy forteller du HDS-nodene hvilken proxy-server og autentiseringsskjema de skal bruke. For å konfigurere en eksplisitt proxy, må du angi følgende informasjon på hver node:
-
Proxy IP/FQDN– Adresse som kan brukes til å nå proxy-maskinen.
-
Proxy-port– Et portnummer som proxyen bruker til å lytte etter proxy-trafikk.
-
Proxy-protokoll– Avhengig av hva proxy-serveren din støtter, kan du velge mellom følgende protokoller:
-
HTTP – Viser og kontrollerer alle forespørsler som klienten sender.
-
HTTPS – Gir en kanal til serveren. Klienten mottar og validerer serverens sertifikat.
-
-
Autentiseringstype– Velg blant følgende autentiseringstyper:
-
Ingen– Ingen ytterligere autentisering er nødvendig.
Tilgjengelig hvis du velger enten HTTP eller HTTPS som proxy-protokoll.
-
Grunnleggende– Brukes av en HTTP-brukeragent for å oppgi brukernavn og passord når en forespørsel sendes. Bruker Base64-koding.
Tilgjengelig hvis du velger enten HTTP eller HTTPS som proxy-protokoll.
Krever at du oppgir brukernavn og passord på hver node.
-
Sammendrag– Brukes til å bekrefte kontoen før sensitiv informasjon sendes. Bruker en hash-funksjon på brukernavnet og passordet før sending over nettverket.
Bare tilgjengelig hvis du velger HTTPS som proxy-protokoll.
Krever at du oppgir brukernavn og passord på hver node.
-
-
Eksempel på hybride datasikkerhetsnoder og proxy
Dette diagrammet viser et eksempel på en tilkobling mellom Hybrid Data Security, nettverket og en proxy. For proxy-alternativene for transparent inspeksjon og HTTPS-eksplisitt inspeksjon må det samme rotsertifikatet installeres på proxyen og på Hybrid Data Security-nodene.
Blokkert ekstern DNS-oppløsningsmodus (eksplisitte proxy-konfigurasjoner)
Når du registrerer en node eller sjekker nodens proxy-konfigurasjon, tester prosessen DNS-oppslag og tilkobling til Cisco Webex-skyen. I distribusjoner med eksplisitte proxy-konfigurasjoner som ikke tillater ekstern DNS-løsning for interne klienter, går noden automatisk inn i modus for blokkert ekstern DNS-løsning hvis den ikke kan spørre DNS-serverne. I denne modusen kan noderegistrering og andre proxy-tilkoblingstester fortsette.
Krav til hybrid datasikkerhet for flere leietakere
Krav til Cisco Webex-lisens
Slik distribuerer du hybrid datasikkerhet for flere leietakere:
-
Partnerorganisasjoner: Kontakt Cisco-partneren eller kontoansvarlig din, og sørg for at flerleietakerfunksjonen er aktivert.
-
Leietakerorganisasjoner: Du må ha Pro Pack for Cisco Webex Control Hub. (Se https://www.cisco.com/go/pro-pack.)
Krav til Docker-skrivebordet
Før du installerer HDS-nodene dine, trenger du Docker Desktop for å kjøre et installasjonsprogram. Docker har nylig oppdatert lisensmodellen sin. Organisasjonen din kan kreve et betalt abonnement for Docker Desktop. For mer informasjon, se Docker-blogginnlegget « Docker oppdaterer og utvider produktabonnementene våre».
Kunder uten Docker Desktop-lisens kan bruke et åpen kildekode-verktøy for containeradministrasjon som Podman Desktop til å kjøre, administrere og opprette containere. Se Kjør HDS-oppsettverktøyet med Podman Desktop for detaljer.
Krav til X.509-sertifikat
Sertifikatkjeden må oppfylle følgende krav:
|
Behov |
Detaljer |
|---|---|
|
Som standard stoler vi på CA-ene i Mozilla-listen (med unntak av WoSign og StartCom) på https://wiki.mozilla.org/CA:IncludedCAs. |
|
CN-en trenger ikke å være tilgjengelig eller en live vert. Vi anbefaler at du bruker et navn som gjenspeiler organisasjonen din, for eksempel KN-en må ikke inneholde en * (jokertegn). CN-en brukes til å bekrefte hybriddatasikkerhetsnodene til Webex-appklienter. Alle hybriddatasikkerhetsnodene i klyngen din bruker det samme sertifikatet. KMS-systemet ditt identifiserer seg ved hjelp av CN-domenet, ikke et hvilket som helst domene som er definert i x.509v3 SAN-feltene. Når du har registrert en node med dette sertifikatet, støtter vi ikke endring av CN-domenenavnet. |
|
KMS-programvaren støtter ikke SHA1-signaturer for validering av tilkoblinger til andre organisasjoners KMS-er. |
|
Du kan bruke en konverter som OpenSSL for å endre formatet på sertifikatet ditt. Du må oppgi passordet når du kjører HDS-oppsettverktøyet. |
KMS-programvaren håndhever ikke begrensninger for nøkkelbruk eller utvidede nøkkelbruk. Noen sertifikatmyndigheter krever at utvidede begrensninger for nøkkelbruk legges til grunn for hvert sertifikat, for eksempel serverautentisering. Det er greit å bruke serverautentisering eller andre innstillinger.
Krav til virtuelle verter
De virtuelle vertene du skal sette opp som hybride datasikkerhetsnoder i klyngen din, har følgende krav:
-
Minst to separate verter (3 anbefalt) samlokalisert i samme sikre datasenter
-
VMware ESXi 7.0 eller 8.0 installert og kjører.
Du må oppgradere hvis du har en tidligere versjon av ESXi.
-
Minimum 4 vCPU-er, 8 GB hovedminne, 30 GB lokal harddiskplass per server
Krav til databaseserver
Opprett en ny database for nøkkellagring. Ikke bruk standarddatabasen. HDS-applikasjonene oppretter databaseskjemaet når de er installert.
Det finnes to alternativer for databaseserveren. Kravene for hver av dem er som følger:
|
PostgreSQL |
Microsoft SQL Server |
|---|---|
|
|
|
Minimum 8 vCPU-er, 16 GB hovedminne, tilstrekkelig harddiskplass og overvåking for å sikre at den ikke overskrides (2 TB anbefales hvis du vil kjøre databasen over lengre tid uten å måtte øke lagringsplassen) |
Minimum 8 vCPU-er, 16 GB hovedminne, tilstrekkelig harddiskplass og overvåking for å sikre at den ikke overskrides (2 TB anbefales hvis du vil kjøre databasen over lengre tid uten å måtte øke lagringsplassen) |
HDS-programvaren installerer for øyeblikket følgende driverversjoner for kommunikasjon med databaseserveren:
|
PostgreSQL |
Microsoft SQL Server |
|---|---|
|
Postgres JDBC-driver 42.2.5 |
SQL Server JDBC-driver 4.6 Denne driverversjonen støtter SQL Server Always On ( Always On Failover Cluster Instances og Always On tilgjengelighetsgrupper). |
Ytterligere krav for Windows-autentisering mot Microsoft SQL Server
Hvis du vil at HDS-noder skal bruke Windows-autentisering for å få tilgang til nøkkeldatabasen din på Microsoft SQL Server, trenger du følgende konfigurasjon i miljøet ditt:
-
HDS-nodene, Active Directory-infrastrukturen og MS SQL Server må alle synkroniseres med NTP.
-
Windows-kontoen du oppgir til HDS-noder må ha read/write tilgang til databasen.
-
DNS-serverne du tilbyr HDS-noder må kunne løse nøkkeldistribusjonssenteret ditt (KDC).
-
Du kan registrere HDS-databaseforekomsten på Microsoft SQL Server som et Service Principal Name (SPN) i Active Directory. Se Registrer et tjenestehovednavn for Kerberos-tilkoblinger.
HDS-oppsettverktøyet, HDS-startprogrammet og det lokale KMS-systemet må alle bruke Windows-autentisering for å få tilgang til nøkkellagerdatabasen. De bruker detaljene fra ISO-konfigurasjonen din til å konstruere SPN-en når de ber om tilgang med Kerberos-autentisering.
Krav til eksterne tilkoblinger
Konfigurer brannmuren din til å tillate følgende tilkobling for HDS-applikasjonene:
|
Søknad |
Protokoll |
Havn |
Veibeskrivelse fra appen |
Destinasjon |
|---|---|---|---|---|
|
Hybride datasikkerhetsnoder |
TCP |
443 |
Utgående HTTPS og WSS |
|
|
HDS-oppsettverktøy |
TCP |
443 |
Utgående HTTPS |
|
Hybrid Data Security-nodene fungerer med nettverkstilgangsoversettelse (NAT) eller bak en brannmur, så lenge NAT-en eller brannmuren tillater de nødvendige utgående tilkoblingene til domenedestinasjonene i den foregående tabellen. For tilkoblinger som går inn til Hybrid Data Security-nodene, skal ingen porter være synlige fra Internett. Innenfor datasenteret ditt trenger klienter tilgang til Hybrid Data Security-nodene på TCP-portene 443 og 22 for administrative formål.
URL-ene for CI-vertene (Common Identity) er regionspesifikke. Dette er de nåværende CI-vertene:
|
Region |
Felles identitetsverts-URL-er |
|---|---|
|
Amerika |
|
|
Den europeiske union |
|
|
Canada |
|
| Singapore |
|
| De forente arabiske emirater |
|
Krav til proxy-server
-
Vi støtter offisielt følgende proxy-løsninger som kan integreres med dine hybride datasikkerhetsnoder.
-
Gjennomsiktig proxy – Cisco Web Security Appliance (WSA).
-
Eksplisitt proxy – blekksprut.
Squid-proxyer som inspiserer HTTPS-trafikk kan forstyrre etableringen av websocket (wss:) forbindelser. For å omgå dette problemet, se Konfigurer Squid-proxyer for hybrid datasikkerhet.
-
-
Vi støtter følgende autentiseringstypekombinasjoner for eksplisitte proxyer:
-
Ingen autentisering med HTTP eller HTTPS
-
Grunnleggende autentisering med HTTP eller HTTPS
-
Digest-autentisering kun med HTTPS
-
-
For en transparent inspiserende proxy eller en eksplisitt HTTPS-proxy må du ha en kopi av proxyens rotsertifikat. Distribusjonsinstruksjonene i denne veiledningen forteller deg hvordan du laster opp kopien til Hybrid Data Security-nodenes klareringslagre.
-
Nettverket som er vert for HDS-nodene må konfigureres til å tvinge utgående TCP-trafikk på port 443 til å rutes gjennom proxyen.
-
Proxyer som inspiserer webtrafikk kan forstyrre web socket-tilkoblinger. Hvis dette problemet oppstår, vil det å omgå (ikke inspisere) trafikk til
wbx2.comogciscospark.comløse problemet.
Fullfør forutsetningene for hybrid datasikkerhet
| 1 |
Sørg for at partnerorganisasjonen din har Multi-Tenant HDS-funksjonen aktivert, og hent legitimasjonen til en konto med partnerrettigheter og fulle administratorrettigheter. Sørg for at Webex-kundeorganisasjonen din er aktivert for Pro Pack for Cisco Webex Control Hub. Kontakt din Cisco-partner eller kontoansvarlige for å få hjelp med denne prosessen. Kundeorganisasjoner skal ikke ha noen eksisterende HDS-distribusjon. |
| 2 |
Velg et domenenavn for HDS-distribusjonen din (for eksempel |
| 3 |
Forbered identiske virtuelle verter som du vil konfigurere som hybride datasikkerhetsnoder i klyngen din. Du trenger minst to separate verter (3 anbefales) samlokalisert i samme sikre datasenter, som oppfyller kravene i Krav til virtuelle verter. |
| 4 |
Klargjør databaseserveren som skal fungere som nøkkeldatalager for klyngen, i henhold til Databaseserverkrav. Databaseserveren må være samlokalisert i det sikre datasenteret med de virtuelle vertene. |
| 5 |
For rask gjenoppretting etter katastrofer, sett opp et sikkerhetskopieringsmiljø i et annet datasenter. Sikkerhetskopieringsmiljøet speiler produksjonsmiljøet til virtuelle maskiner og en sikkerhetskopieringsdatabaseserver. Hvis for eksempel produksjonen har 3 virtuelle maskiner som kjører HDS-noder, bør sikkerhetskopieringsmiljøet ha 3 virtuelle maskiner. |
| 6 |
Konfigurer en syslog-vert for å samle inn logger fra nodene i klyngen. Hent nettverksadressen og syslog-porten (standard er UDP 514). |
| 7 |
Opprett en sikker sikkerhetskopieringspolicy for Hybrid Data Security-nodene, databaseserveren og syslog-verten. For å forhindre uopprettelig datatap må du som et minimum sikkerhetskopiere databasen og ISO-konfigurasjonsfilen som er generert for Hybrid Data Security-nodene. Fordi hybride datasikkerhetsnoder lagrer nøklene som brukes i kryptering og dekryptering av innhold, vil manglende opprettholdelse av en operativ distribusjon føre til UOPPRETTBART TAP av innholdet. Webex-appklienter bufrer nøklene sine, så et driftsavbrudd er kanskje ikke umiddelbart merkbart, men vil bli tydelig over tid. Selv om midlertidige avbrudd er umulige å forhindre, kan de gjenopprettes. Fullstendig tap (ingen sikkerhetskopier tilgjengelig) av enten databasen eller konfigurasjons-ISO-filen vil imidlertid føre til uopprettelige kundedata. Operatørene av Hybrid Data Security-nodene forventes å opprettholde hyppige sikkerhetskopier av databasen og ISO-konfigurasjonsfilen, og være forberedt på å gjenoppbygge Hybrid Data Security-datasenteret hvis det oppstår en katastrofal feil. |
| 8 |
Sørg for at brannmurkonfigurasjonen din tillater tilkobling for hybriddatasikkerhetsnodene dine som beskrevet i Krav til ekstern tilkobling. |
| 9 |
Installer Docker ( https://www.docker.com) på en hvilken som helst lokal maskin som kjører et støttet operativsystem (Microsoft Windows 10 Professional eller Enterprise 64-bit, eller Mac OSX Yosemite 10.10.3 eller nyere) med en nettleser som har tilgang til det på http://127.0.0.1:8080. Du bruker Docker-forekomsten til å laste ned og kjøre HDS Setup Tool, som bygger den lokale konfigurasjonsinformasjonen for alle Hybrid Data Security-nodene. Du trenger kanskje en Docker Desktop-lisens. Se Krav til Docker Desktop for mer informasjon. For å installere og kjøre HDS Setup Tool, må den lokale maskinen ha tilkoblingsmulighetene som er beskrevet i Krav til ekstern tilkobling. |
| 10 |
Hvis du integrerer en proxy med Hybrid Data Security, må du sørge for at den oppfyller Krav til proxyserver. |
Oppgaveflyt for distribusjon av hybrid datasikkerhet
| 1 |
Utfør første oppsett og last ned installasjonsfiler Last ned OVA-filen til din lokale maskin for senere bruk. |
| 2 |
Opprett en konfigurasjons-ISO for HDS-vertene Bruk HDS-oppsettverktøyet til å opprette en ISO-konfigurasjonsfil for Hybrid Data Security-nodene. |
| 3 |
Opprett en virtuell maskin fra OVA-filen og utfør den første konfigurasjonen, for eksempel nettverksinnstillinger. Alternativet for å konfigurere nettverksinnstillinger under OVA-distribusjon har blitt testet med ESXi 7.0 og 8.0. Alternativet er kanskje ikke tilgjengelig i tidligere versjoner. |
| 4 |
Konfigurer den hybride virtuelle datamaskinen for datasikkerhet Logg på VM-konsollen og angi påloggingslegitimasjonen. Konfigurer nettverksinnstillingene for noden hvis du ikke konfigurerte dem da OVA-distribusjonen ble utført. |
| 5 |
Last opp og monter HDS-konfigurasjons-ISO-en Konfigurer den virtuelle maskinen fra ISO-konfigurasjonsfilen du opprettet med HDS-oppsettverktøyet. |
| 6 |
Konfigurer HDS-noden for proxy-integrasjon Hvis nettverksmiljøet krever proxy-konfigurasjon, angi hvilken type proxy du vil bruke for noden, og legg til proxy-sertifikatet i klareringslageret om nødvendig. |
| 7 |
Registrer den første noden i klyngen Registrer den virtuelle maskinen med Cisco Webex-skyen som en hybrid datasikkerhetsnode. |
| 8 |
Opprett og registrer flere noder Fullfør klyngeoppsettet. |
| 9 |
Aktiver HDS for flere leietakere på partnerhub. Aktiver HDS og administrer leietakerorganisasjoner på Partner Hub. |
Utfør første oppsett og last ned installasjonsfiler
I denne oppgaven laster du ned en OVA-fil til maskinen din (ikke til serverne du har satt opp som hybride datasikkerhetsnoder). Du bruker denne filen senere i installasjonsprosessen.
| 1 |
Logg på Partner Hub, og klikk deretter på Tjenester. |
| 2 |
I Hybrid-delen finner du kortet for hybrid datasikkerhet, og deretter klikker du på Konfigurer. Det er avgjørende for distribusjonsprosessen å klikke på Konfigurer i Partner Hub. Ikke fortsett med installasjonen uten å fullføre dette trinnet. |
| 3 |
Klikk på Legg til en ressurs og klikk på Last ned .OVA-fil på kortet Installer og konfigurer programvare. Eldre versjoner av programvarepakken (OVA) vil ikke være kompatible med de nyeste oppgraderingene for hybrid datasikkerhet. Dette kan føre til problemer under oppgradering av applikasjonen. Sørg for at du laster ned den nyeste versjonen av OVA-filen. Du kan også laste ned OVA når som helst fra Hjelp -delen. Klikk på . Nedlastingen av OVA-filen begynner automatisk. Lagre filen på en plassering på maskinen din.
|
Opprett en konfigurasjons-ISO for HDS-vertene
Konfigurasjonsprosessen for hybrid datasikkerhet oppretter en ISO-fil. Deretter bruker du ISO-filen til å konfigurere Hybrid Data Security-verten din.
Før du begynner
-
HDS-oppsettverktøyet kjører som en Docker-container på en lokal maskin. For å få tilgang til den, kjør Docker på den maskinen. Oppsettprosessen krever påloggingsinformasjonen til en Partner Hub-konto med fulle administratorrettigheter.
Hvis du ikke har en Docker Desktop-lisens, kan du bruke Podman Desktop til å kjøre HDS-oppsettverktøyet for trinn 1 til 5 i prosedyren nedenfor. Se Kjør HDS-oppsettverktøyet med Podman Desktop for detaljer.
Hvis HDS-oppsettverktøyet kjører bak en proxy i miljøet ditt, må du oppgi proxy-innstillingene (server, port, legitimasjon) via Docker-miljøvariabler når du åpner Docker-containeren i trinn 5 nedenfor. Denne tabellen gir noen mulige miljøvariabler:
Beskrivelse
Variabel
HTTP-proxy uten autentisering
GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORTHTTPS-proxy uten autentisering
GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORTHTTP-proxy med autentisering
GLOBAL_AGENT_HTTP_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORTHTTPS-proxy med autentisering
GLOBAL_AGENT_HTTPS_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT -
Konfigurasjons-ISO-filen du genererer inneholder hovednøkkelen som krypterer PostgreSQL- eller Microsoft SQL Server-databasen. Du trenger den nyeste kopien av denne filen hver gang du gjør konfigurasjonsendringer, som disse:
-
Databaselegitimasjon
-
Sertifikatoppdateringer
-
Endringer i autorisasjonspolicyen
-
-
Hvis du planlegger å kryptere databasetilkoblinger, må du konfigurere PostgreSQL- eller SQL Server-distribusjonen din for TLS.
| 1 |
Skriv inn riktig kommando for miljøet ditt på maskinens kommandolinje: I vanlige miljøer: I FedRAMP-miljøer: Dette trinnet rydder opp i tidligere bilder av HDS-oppsettverktøyet. Hvis det ikke finnes noen tidligere bilder, returnerer den en feil som du kan ignorere. | ||||||||||
| 2 |
For å logge på Docker-avbildningsregisteret, skriv inn følgende: | ||||||||||
| 3 |
Ved passordledeteksten skriver du inn denne hashen: | ||||||||||
| 4 |
Last ned det nyeste stabile bildet for miljøet ditt: I vanlige miljøer: I FedRAMP-miljøer: | ||||||||||
| 5 |
Når hentingen er fullført, skriver du inn riktig kommando for miljøet ditt:
Når containeren kjører, ser du «Express-server lytter på port 8080». | ||||||||||
| 6 |
Installasjonsverktøyet støtter ikke tilkobling til localhost via http://localhost:8080. Bruk http://127.0.0.1:8080 for å koble til localhost. Bruk en nettleser til å gå til localhost, Verktøyet bruker denne første oppføringen av brukernavnet til å angi riktig miljø for den kontoen. Verktøyet viser deretter standard påloggingsledetekst. | ||||||||||
| 7 |
Når du blir bedt om det, skriver du inn påloggingsinformasjonen for Partner Hub-administratoren, og klikker deretter på Logg inn for å gi tilgang til de nødvendige tjenestene for Hybrid Data Security. | ||||||||||
| 8 |
På oversiktssiden for oppsettverktøyet klikker du på Kom i gang. | ||||||||||
| 9 |
På siden ISO-import har du disse alternativene:
| ||||||||||
| 10 |
Sjekk at X.509-sertifikatet ditt oppfyller kravene i Krav til X.509-sertifikat.
| ||||||||||
| 11 |
Skriv inn databaseadressen og kontoen som HDS bruker for å få tilgang til nøkkeldatalageret ditt: | ||||||||||
| 12 |
Velg en TLS-databasetilkoblingsmodus:
Når du laster opp rotsertifikatet (hvis nødvendig) og klikker på Fortsett, tester HDS-oppsettverktøyet TLS-tilkoblingen til databaseserveren. Verktøyet verifiserer også sertifikatsigneren og vertsnavnet, hvis aktuelt. Hvis en test mislykkes, viser verktøyet en feilmelding som beskriver problemet. Du kan velge om du vil ignorere feilen og fortsette med oppsettet. (På grunn av tilkoblingsforskjeller kan HDS-nodene kanskje opprette TLS-tilkoblingen selv om HDS Setup Tool-maskinen ikke kan teste den.) | ||||||||||
| 13 |
På siden Systemlogger konfigurerer du Syslogd-serveren din: | ||||||||||
| 14 |
(Valgfritt) Du kan endre standardverdien for noen databasetilkoblingsparametere i Avanserte innstillinger. Vanligvis er denne parameteren den eneste du kanskje vil endre: | ||||||||||
| 15 |
Klikk på Fortsett på skjermbildet Tilbakestill passord for tjenestekontoer. Passord for tjenestekontoer har en levetid på ni måneder. Bruk denne skjermen når passordene dine nærmer seg utløpsdatoen, eller du vil tilbakestille dem for å ugyldiggjøre tidligere ISO-filer. | ||||||||||
| 16 |
Klikk på Last ned ISO-fil. Lagre filen på et sted som er lett å finne. | ||||||||||
| 17 |
Lag en sikkerhetskopi av ISO-filen på ditt lokale system. Oppbevar sikkerhetskopien sikkert. Denne filen inneholder en hovedkrypteringsnøkkel for databaseinnholdet. Begrens tilgangen til kun de administratorene for hybrid datasikkerhet som skal gjøre konfigurasjonsendringer. | ||||||||||
| 18 |
For å avslutte installasjonsverktøyet, skriv |
Hva du skal gjøre nå
Sikkerhetskopier konfigurasjons-ISO-filen. Du trenger det for å opprette flere noder for gjenoppretting, eller for å gjøre konfigurasjonsendringer. Hvis du mister alle kopiene av ISO-filen, har du også mistet hovednøkkelen. Det er ikke mulig å gjenopprette nøklene fra PostgreSQL- eller Microsoft SQL Server-databasen.
Vi har aldri en kopi av denne nøkkelen, og kan ikke hjelpe deg hvis du mister den.
Installer HDS Host OVA
| 1 |
Bruk VMware vSphere-klienten på datamaskinen din for å logge på den virtuelle ESXi-verten. |
| 2 |
Velg Fil > Distribuer OVF-mal. |
| 3 |
I veiviseren angir du plasseringen til OVA-filen du lastet ned tidligere, og klikker deretter på Neste. |
| 4 |
På siden Velg et navn og en mappe skriver du inn et navn på en virtuell maskin for noden (for eksempel "HDS_Node_1"), velger en plassering der distribusjonen av den virtuelle maskinnoden kan befinne seg, og klikker deretter på Neste. |
| 5 |
På siden Velg en beregningsressurs velger du målberegningsressursen og klikker deretter på Neste. En valideringskontroll kjøres. Når det er ferdig, vises maldetaljene. |
| 6 |
Bekreft maldetaljene og klikk deretter på Neste. |
| 7 |
Hvis du blir bedt om å velge ressurskonfigurasjon på siden Konfigurasjon, klikker du på 4 CPU og deretter på Neste. |
| 8 |
På siden Velg lagring klikker du på Neste for å godta standard diskformat og lagringspolicy for virtuell maskin. |
| 9 |
På siden Velg nettverk velger du nettverksalternativet fra listen over oppføringer for å gi ønsket tilkobling til den virtuelle maskinen. |
| 10 |
På siden Tilpass mal konfigurerer du følgende nettverksinnstillinger:
Hvis du foretrekker det, kan du hoppe over konfigurasjonen av nettverksinnstillingene og følge trinnene i Konfigurer den virtuelle hybriddatasikkerhetsmaskinen for å konfigurere innstillingene fra nodekonsollen. Alternativet for å konfigurere nettverksinnstillinger under OVA-distribusjon har blitt testet med ESXi 7.0 og 8.0. Alternativet er kanskje ikke tilgjengelig i tidligere versjoner. |
| 11 |
Høyreklikk på nodens virtuelle maskin, og velg deretter . Hybrid Data Security-programvaren installeres som gjest på VM-verten. Du er nå klar til å logge på konsollen og konfigurere noden. Feilsøkingstips Du kan oppleve en forsinkelse på noen få minutter før nodecontainerne dukker opp. En melding om en brobrannmur vises på konsollen under første oppstart, og du kan ikke logge på i løpet av denne tiden. |
Konfigurer den hybride virtuelle datamaskinen for datasikkerhet
Bruk denne prosedyren for å logge på Hybrid Data Security-nodens virtuelle konsoll for første gang og angi påloggingslegitimasjonen. Du kan også bruke konsollen til å konfigurere nettverksinnstillingene for noden hvis du ikke konfigurerte dem da OVA-distribusjonen ble utført.
| 1 |
I VMware vSphere-klienten velger du den virtuelle maskinen for hybrid datasikkerhetsnoden og velger fanen Konsoll. VM-en starter opp, og en påloggingsledetekst vises. Hvis påloggingsledeteksten ikke vises, trykk Enter.
|
| 2 |
Bruk følgende standardbrukernavn og passord for å logge på og endre påloggingsinformasjonen: Siden du logger på den virtuelle maskinen for første gang, må du endre administratorpassordet. |
| 3 |
Hvis du allerede har konfigurert nettverksinnstillingene i Installer HDS Host OVA, hopper du over resten av denne prosedyren. Ellers velger du alternativet Rediger konfigurasjon i hovedmenyen. |
| 4 |
Sett opp en statisk konfigurasjon med IP-adresse, maske, gateway og DNS-informasjon. Noden din skal ha en intern IP-adresse og et DNS-navn. DHCP støttes ikke. |
| 5 |
(Valgfritt) Endre vertsnavn, domene eller NTP-server(e) om nødvendig for å samsvare med nettverkspolicyen din. Du trenger ikke å angi domenet slik at det samsvarer med domenet du brukte for å hente X.509-sertifikatet. |
| 6 |
Lagre nettverkskonfigurasjonen og start den virtuelle maskinen på nytt slik at endringene trer i kraft. |
Last opp og monter HDS-konfigurasjons-ISO-en
Før du begynner
Fordi ISO-filen inneholder hovednøkkelen, bør den bare eksponeres ved behov, for tilgang av de virtuelle hybriddatasikkerhetsmaskinene og eventuelle administratorer som måtte trenge å gjøre endringer. Sørg for at bare disse administratorene har tilgang til datalageret.
| 1 |
Last opp ISO-filen fra datamaskinen din: |
| 2 |
Monter ISO-filen: |
Hva du skal gjøre nå
Hvis IT-policyen din krever det, kan du eventuelt avmontere ISO-filen etter at alle nodene dine har plukket opp konfigurasjonsendringene. Se (Valgfritt) Avmonter ISO etter HDS-konfigurasjon for detaljer.
Konfigurer HDS-noden for proxy-integrasjon
Hvis nettverksmiljøet krever en proxy, bruk denne prosedyren for å angi typen proxy du vil integrere med Hybrid Data Security. Hvis du velger en transparent inspeksjonsproxy eller en eksplisitt HTTPS-proxy, kan du bruke nodens grensesnitt til å laste opp og installere rotsertifikatet. Du kan også sjekke proxy-tilkoblingen fra grensesnittet og feilsøke eventuelle problemer.
Før du begynner
-
Se Proxy-støtte for en oversikt over de støttede proxy-alternativene.
| 1 |
Skriv inn URL-adressen for oppsett av HDS-noden |
| 2 |
Gå til Trust Store & Proxy, og velg deretter et alternativ:
Følg de neste trinnene for en transparent inspeksjonsproxy, en eksplisitt HTTP-proxy med grunnleggende autentisering eller en eksplisitt HTTPS-proxy. |
| 3 |
Klikk på Last opp et rotsertifikat eller et sluttenhetssertifikat, og naviger deretter til og velg rotsertifikatet for proxyen. Sertifikatet er lastet opp, men ikke installert ennå, fordi du må starte noden på nytt for å installere sertifikatet. Klikk på vinkelpilen ved siden av sertifikatutstederens navn for å få mer informasjon, eller klikk på Slett hvis du har gjort en feil og vil laste opp filen på nytt. |
| 4 |
Klikk på Sjekk proxy-tilkobling for å teste nettverkstilkoblingen mellom noden og proxyen. Hvis tilkoblingstesten mislykkes, vil du se en feilmelding som viser årsaken og hvordan du kan løse problemet. Hvis du ser en melding som sier at ekstern DNS-løsning ikke var vellykket, klarte ikke noden å nå DNS-serveren. Denne betingelsen er forventet i mange eksplisitte proxy-konfigurasjoner. Du kan fortsette med oppsettet, og noden vil fungere i modus for blokkert ekstern DNS-løsning. Hvis du tror dette er en feil, fullfør disse trinnene, og se deretter Slå av blokkert ekstern DNS-oppløsningsmodus. |
| 5 |
Etter at tilkoblingstesten er bestått, for eksplisitt proxy satt til kun https, slå veksleknappen på Rut alle porter 443/444 https-forespørsler fra denne noden gjennom den eksplisitte proxyen. Denne innstillingen krever 15 sekunder for å tre i kraft. |
| 6 |
Klikk på Installer alle sertifikater i klareringslageret (vises for en eksplisitt HTTPS-proxy eller en transparent inspiserende proxy) eller Start på nytt (vises for en eksplisitt HTTP-proxy), les ledeteksten, og klikk deretter på Installer hvis du er klar. Noden starter på nytt innen få minutter. |
| 7 |
Etter at noden har startet på nytt, logg inn igjen om nødvendig, og åpne deretter siden Oversikt for å sjekke tilkoblingskontrollene og sørge for at de alle har grønn status. Proxy-tilkoblingskontrollen tester bare et underdomene av webex.com. Hvis det er tilkoblingsproblemer, er et vanlig problem at noen av skydomenene som er oppført i installasjonsinstruksjonene, blokkeres av proxy-tjeneren. |
Registrer den første noden i klyngen
Når du registrerer din første node, oppretter du en klynge som noden er tilordnet. En klynge inneholder én eller flere noder som er distribuert for å gi redundans.
Før du begynner
-
Når du har startet registreringen av en node, må du fullføre den innen 60 minutter, ellers må du starte på nytt.
-
Sørg for at eventuelle popup-blokkeringer i nettleseren din er deaktivert, eller at du tillater et unntak for admin.webex.com.
| 1 |
Logg inn på https://admin.webex.com. |
| 2 |
Fra menyen på venstre side av skjermen velger du Tjenester. |
| 3 |
I Hybrid-delen finner du Hybrid Data Security-kortet og klikker på Konfigurer. |
| 4 |
På siden som åpnes, klikk på Legg til en ressurs. |
| 5 |
I det første feltet på kortet Opprett en ny klynge skriver du inn et navn for klyngen du vil tilordne Hybrid Data Security-noden til. Vi anbefaler at du navngir en klynge basert på hvor nodene i klyngen befinner seg geografisk. Eksempler: «San Francisco» eller «New York» eller «Dallas» |
| 6 |
I det andre feltet skriver du inn den interne IP-adressen eller det fullstendig kvalifiserte domenenavnet (FQDN) til noden din og klikker på Legg til nederst på skjermen. Denne IP-adressen eller FQDN-en skal samsvare med IP-adressen eller vertsnavnet og domenet du brukte i Konfigurer den hybride virtuelle datamaskinen for datasikkerhet. Det vises en melding som angir at du kan registrere noden din i Webex.
|
| 7 |
Klikk på Gå til node. Etter noen få øyeblikk blir du omdirigert til nodetilkoblingstestene for Webex-tjenester. Hvis alle testene er vellykkede, vises siden Tillat tilgang til hybrid datasikkerhetsnode. Der bekrefter du at du vil gi Webex-organisasjonen din tillatelse til å få tilgang til noden din. |
| 8 |
Merk av i boksen Tillat tilgang til hybrid datasikkerhetsnode, og klikk deretter på Fortsett. Kontoen din er validert, og meldingen «Registrering fullført» indikerer at noden din nå er registrert i Webex-skyen.
|
| 9 |
Klikk på lenken eller lukk fanen for å gå tilbake til Partner Hub Hybrid Data Security-siden. På siden Hybrid datasikkerhet vises den nye klyngen som inneholder noden du registrerte, under fanen Ressurser. Noden vil automatisk laste ned den nyeste programvaren fra skyen.
|
Opprett og registrer flere noder
Før du begynner
-
Når du har startet registreringen av en node, må du fullføre den innen 60 minutter, ellers må du starte på nytt.
-
Sørg for at eventuelle popup-blokkeringer i nettleseren din er deaktivert, eller at du tillater et unntak for admin.webex.com.
| 1 |
Opprett en ny virtuell maskin fra OVA-en, og gjenta trinnene i Installer HDS Host OVA. |
| 2 |
Konfigurer den første konfigurasjonen på den nye virtuelle maskinen, og gjenta trinnene i Konfigurer den hybride virtuelle maskinen for datasikkerhet. |
| 3 |
Gjenta trinnene i Last opp og monter HDS-konfigurasjons-ISOpå den nye virtuelle maskinen. |
| 4 |
Hvis du konfigurerer en proxy for distribusjonen din, gjenta trinnene i Konfigurer HDS-noden for proxy-integrasjon etter behov for den nye noden. |
| 5 |
Registrer noden. |
Hva du skal gjøre nå
Aktiver flerleietaker-HDS på partnerhub
Denne oppgaven sikrer at alle brukere i kundeorganisasjonene kan begynne å utnytte HDS for lokale krypteringsnøkler og andre sikkerhetstjenester.
Før du begynner
Sørg for at du har fullført oppsettet av HDS-klyngen med flere leietakere med det nødvendige antallet noder.
| 1 |
Logg inn på https://admin.webex.com. |
| 2 |
Fra menyen på venstre side av skjermen velger du Tjenester. |
| 3 |
I Hybrid-delen finner du Hybrid datasikkerhet og klikker på Rediger innstillinger. |
| 4 |
Klikk på Aktiver HDS på kortet HDS-status. |
Legg til leietakerorganisasjoner i Partner Hub
I denne oppgaven tilordner du kundeorganisasjoner til din hybride datasikkerhetsklynge.
| 1 |
Logg inn på https://admin.webex.com. |
| 2 |
Fra menyen på venstre side av skjermen velger du Tjenester. |
| 3 |
I Hybrid-delen finner du Hybrid datasikkerhet og klikker på Vis alle. |
| 4 |
Gå til fanen Tildelte kunder. Fanen Tildelte kunder vises ikke før du oppretter en klynge. |
| 5 |
Klikk på Legg til kunder. |
| 6 |
Velg kunden du vil legge til fra rullegardinmenyen. |
| 7 |
Klikk på Legg til, kunden vil bli lagt til i klyngen. |
| 8 |
Gjenta trinn 5 til 7 for å legge til flere kunder i klyngen din. |
| 9 |
Klikk på Ferdig nederst på skjermen når du har lagt til kundene. Kunder som legges til, vil bli synkronisert på tvers av alle tilgjengelige klynger. |
Hva du skal gjøre nå
Opprett kundens hovednøkler (CMK-er) ved hjelp av HDS-oppsettverktøyet
Før du begynner
Tilordne kunder som beskrevet i Legge til leietakerorganisasjoner i partnerhub. Kjør HDS-oppsettverktøyet for å fullføre oppsettprosessen for de nylig tillagte kundeorganisasjonene.
-
HDS-oppsettverktøyet kjører som en Docker-container på en lokal maskin. For å få tilgang til den, kjør Docker på den maskinen. Konfigurasjonsprosessen krever legitimasjonen til en Partner Hub-konto med fulle administratorrettigheter for organisasjonen din.
Hvis HDS-oppsettverktøyet kjører bak en proxy i miljøet ditt, må du oppgi proxy-innstillingene (server, port, legitimasjon) via Docker-miljøvariabler når du åpner Docker-containeren i trinn 5. Denne tabellen viser noen mulige miljøvariabler:
Beskrivelse
Variabel
HTTP-proxy uten autentisering
GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORTHTTPS-proxy uten autentisering
GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORTHTTP-proxy med autentisering
GLOBAL_AGENT_HTTP_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORTHTTPS-proxy med autentisering
GLOBAL_AGENT_HTTPS_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT -
Konfigurasjons-ISO-filen du genererer inneholder hovednøkkelen som krypterer PostgreSQL- eller Microsoft SQL Server-databasen. Du trenger den nyeste kopien av denne filen hver gang du gjør konfigurasjonsendringer, som disse:
-
Databaselegitimasjon
-
Sertifikatoppdateringer
-
Endringer i autorisasjonspolicyen
-
-
Hvis du planlegger å kryptere databasetilkoblinger, må du konfigurere PostgreSQL- eller SQL Server-distribusjonen din for TLS.
Konfigurasjonsprosessen for hybrid datasikkerhet oppretter en ISO-fil. Deretter bruker du ISO-filen til å konfigurere Hybrid Data Security-verten din.
| 1 |
Skriv inn riktig kommando for miljøet ditt på maskinens kommandolinje: I vanlige miljøer: I FedRAMP-miljøer: Dette trinnet rydder opp i tidligere bilder av HDS-oppsettverktøyet. Hvis det ikke finnes noen tidligere bilder, returnerer den en feil som du kan ignorere. |
| 2 |
For å logge på Docker-avbildningsregisteret, skriv inn følgende: |
| 3 |
Ved passordledeteksten skriver du inn denne hashen: |
| 4 |
Last ned det nyeste stabile bildet for miljøet ditt: I vanlige miljøer: I FedRAMP-miljøer: |
| 5 |
Når hentingen er fullført, skriver du inn riktig kommando for miljøet ditt:
Når containeren kjører, ser du «Express-server lytter på port 8080». |
| 6 |
Installasjonsverktøyet støtter ikke tilkobling til localhost via http://localhost:8080. Bruk http://127.0.0.1:8080 for å koble til localhost. Bruk en nettleser til å gå til localhost, Verktøyet bruker denne første oppføringen av brukernavnet til å angi riktig miljø for den kontoen. Verktøyet viser deretter standard påloggingsledetekst. |
| 7 |
Når du blir bedt om det, skriver du inn påloggingsinformasjonen for Partner Hub-administratoren, og klikker deretter på Logg inn for å gi tilgang til de nødvendige tjenestene for Hybrid Data Security. |
| 8 |
På oversiktssiden for oppsettverktøyet klikker du på Kom i gang. |
| 9 |
På siden ISO-import klikker du på Ja. |
| 10 |
Velg ISO-filen din i nettleseren og last den opp. Sørg for tilkobling til databasen din for å utføre CMK-administrasjon. |
| 11 |
Gå til fanen Leietaker-CMK-administrasjon, der du finner følgende tre måter å administrere Leietaker-CMK-er på.
|
| 12 |
Når CMK-opprettelsen er vellykket, endres statusen i tabellen fra CMK-administrasjon venter til CMK-administrert. |
| 13 |
Hvis opprettelsen av CMK mislykkes, vises en feilmelding. |
Fjern leietakerorganisasjoner
Før du begynner
Når den er fjernet, vil ikke brukere av kundeorganisasjoner kunne bruke HDS til sine krypteringsbehov, og de vil miste alle eksisterende plasser. Før du fjerner kundeorganisasjoner, må du kontakte Cisco-partneren eller kontoansvarlig.
| 1 |
Logg inn på https://admin.webex.com. |
| 2 |
Fra menyen på venstre side av skjermen velger du Tjenester. |
| 3 |
I Hybrid-delen finner du Hybrid datasikkerhet og klikker på Vis alle. |
| 4 |
På siden som åpnes, klikk på fanen Tildelte kunder. |
| 5 |
Fra listen over kundeorganisasjoner som vises, klikk på |
Hva du skal gjøre nå
Fullfør fjerningsprosessen ved å tilbakekalle CMK-ene til kundeorganisasjonene som beskrevet i Tilbakekalle CMK-er for leietakere fjernet fra HDS.
Tilbakekall CMK-er for leietakere som er fjernet fra HDS.
Før du begynner
Fjern kunder som beskrevet i Fjern leietakerorganisasjoner. Kjør HDS-oppsettverktøyet for å fullføre fjerningsprosessen for kundeorganisasjonene som ble fjernet.
-
HDS-oppsettverktøyet kjører som en Docker-container på en lokal maskin. For å få tilgang til den, kjør Docker på den maskinen. Konfigurasjonsprosessen krever legitimasjonen til en Partner Hub-konto med fulle administratorrettigheter for organisasjonen din.
Hvis HDS-oppsettverktøyet kjører bak en proxy i miljøet ditt, må du oppgi proxy-innstillingene (server, port, legitimasjon) via Docker-miljøvariabler når du åpner Docker-containeren i trinn 5. Denne tabellen viser noen mulige miljøvariabler:
Beskrivelse
Variabel
HTTP-proxy uten autentisering
GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORTHTTPS-proxy uten autentisering
GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORTHTTP-proxy med autentisering
GLOBAL_AGENT_HTTP_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORTHTTPS-proxy med autentisering
GLOBAL_AGENT_HTTPS_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT -
Konfigurasjons-ISO-filen du genererer inneholder hovednøkkelen som krypterer PostgreSQL- eller Microsoft SQL Server-databasen. Du trenger den nyeste kopien av denne filen hver gang du gjør konfigurasjonsendringer, som disse:
-
Databaselegitimasjon
-
Sertifikatoppdateringer
-
Endringer i autorisasjonspolicyen
-
-
Hvis du planlegger å kryptere databasetilkoblinger, må du konfigurere PostgreSQL- eller SQL Server-distribusjonen din for TLS.
Konfigurasjonsprosessen for hybrid datasikkerhet oppretter en ISO-fil. Deretter bruker du ISO-filen til å konfigurere Hybrid Data Security-verten din.
| 1 |
Skriv inn riktig kommando for miljøet ditt på maskinens kommandolinje: I vanlige miljøer: I FedRAMP-miljøer: Dette trinnet rydder opp i tidligere bilder av HDS-oppsettverktøyet. Hvis det ikke finnes noen tidligere bilder, returnerer den en feil som du kan ignorere. |
| 2 |
For å logge på Docker-avbildningsregisteret, skriv inn følgende: |
| 3 |
Ved passordledeteksten skriver du inn denne hashen: |
| 4 |
Last ned det nyeste stabile bildet for miljøet ditt: I vanlige miljøer: I FedRAMP-miljøer: |
| 5 |
Når hentingen er fullført, skriver du inn riktig kommando for miljøet ditt:
Når containeren kjører, ser du «Express-server lytter på port 8080». |
| 6 |
Installasjonsverktøyet støtter ikke tilkobling til localhost via http://localhost:8080. Bruk http://127.0.0.1:8080 for å koble til localhost. Bruk en nettleser til å gå til localhost, Verktøyet bruker denne første oppføringen av brukernavnet til å angi riktig miljø for den kontoen. Verktøyet viser deretter standard påloggingsledetekst. |
| 7 |
Når du blir bedt om det, skriver du inn påloggingsinformasjonen for Partner Hub-administratoren, og klikker deretter på Logg inn for å gi tilgang til de nødvendige tjenestene for Hybrid Data Security. |
| 8 |
På oversiktssiden for oppsettverktøyet klikker du på Kom i gang. |
| 9 |
På siden ISO-import klikker du på Ja. |
| 10 |
Velg ISO-filen din i nettleseren og last den opp. |
| 11 |
Gå til fanen Leietaker-CMK-administrasjon, der du finner følgende tre måter å administrere Leietaker-CMK-er på.
|
| 12 |
Når CMK-tilbakekallingen er vellykket, vil ikke kundeorganisasjonen lenger vises i tabellen. |
| 13 |
Hvis CMK-tilbakekalling mislykkes, vises en feilmelding. |
Test din hybride datasikkerhetsimplementering
Før du begynner
-
Konfigurer din hybride datasikkerhetsdistribusjon for flere leietakere.
-
Sørg for at du har tilgang til sysloggen for å bekrefte at nøkkelforespørsler sendes til Multi-Tenant Hybrid Data Security-distribusjonen din.
| 1 |
Nøkler for et gitt område angis av den som har opprettet området. Logg på Webex-appen som en av brukerne i kundeorganisasjonen, og opprett deretter et område. Hvis du deaktiverer distribusjonen av Hybrid Data Security, vil innhold i områder som brukere oppretter ikke lenger være tilgjengelig når de klientbufrede kopiene av krypteringsnøklene er erstattet. |
| 2 |
Send meldinger til det nye rommet. |
| 3 |
Sjekk syslog-utdataene for å bekrefte at nøkkelforespørslene sendes til Hybrid Data Security-distribusjonen din. Hvis en bruker av en nylig tillagt kundeorganisasjon utfører en handling, vil organisasjonens organisasjons-ID vises i loggene, og dette kan brukes til å bekrefte at organisasjonen bruker Multi-Tenant HDS. Sjekk verdien av |
Tolkning av HDS-logger og forståelse av agentetiketter
HDS-logger gir detaljert informasjon om KMS-forespørsler. Disse loggene inneholder ulike felt som bidrar til å identifisere forespørselens art og den tilhørende identiteten. Å forstå disse feltene er avgjørende for å tolke aktiviteter riktig og pålitelige interne operasjoner.
Terminologi
For å sikre klarhet når du gjennomgår HDS-logger, er det viktig å forstå følgende begreper:
| Periode | Definisjon |
|---|---|
| Tjenestekonto | En tjenesteidentitet som lar Webex-tjenester utføre autoriserte handlinger på en sikker måte. |
| Agent | En tjenesteenhet eller tjenestekontoidentitet som brukes til å utføre automatiserte operasjoner i HDS-miljøet. |
| Agentetikett | En tagg inkludert i HDS-logger som identifiserer den spesifikke kilden og typen til en innkommende forespørsel, noe som muliggjør effektiv revisjon av tilgangskontroll. |
| Delegert tilgang | En autorisert tjenestekonto som sender en forespørsel for en bestemt bruker, innenfor den brukerens tillatelser. Vises som en delegeringsforespørsel: agent -> userid. |
Begrepet «Agent» i denne sammenhengen refererer spesifikt til HDS-tjenesteidentiteter. Disse er ikke relatert til de AI-drevne agentene som brukes i andre Webex-funksjoner.
En forespørsel behandles bare når den kommer fra:
- en autentisert bruker i organisasjonen din, eller
- en tjenestekonto som befinner seg i, og er autorisert av, organisasjonen din.
Oversikt over loggfelt
| Felt | Hva det representerer |
|---|---|
| Tidsstempel | Dato og klokkeslett for operasjonen. |
| kms.data.metode | KMS-operasjonen som ble utført (f.eks. henting). |
| kms.data.orgld | Organisasjonsidentifikator. |
| kms.data.httpBrukeragent | Klienten eller tjenesten som fremsetter forespørselen. |
| WEBEX_SPORINGS-ID | Unik sporingsidentifikator for forespørselen. |
| kms.data.uriHost / kms.data.uri | Verten og ressursen som forespørselen er rettet mot. |
| kms.data.userld | Identiteten som utfører forespørselen, inkludert en agentetikett. |
| kms.response.suksess | Angir om forespørselen lyktes. |
Forespørselstyper – hurtigreferanse
| Tagg i logg | Agentetikett | Hva det representerer | Typiske operasjoner |
|---|---|---|---|
| Brukertype: brukerAgent | Brukeragent | En klarert tjenestekonto knyttet til en brukerarbeidsflyt, begrenset til organisasjonen din. | Creating/managing nøkler for en brukerprosess. |
| o-agent <id> -> bruker-ID <id> | Organisasjonsagent | En klarert tjenestekonto på organisasjonsnivå som bruker delegert tilgang. | Samsvarsansvarligs uttrekk av Webex-data, kalenderintegrasjoner. |
| c-agent <id> -> bruker-ID <id> | Skyagent | En Webex-tjeneste som utfører en delegert forespørsel for en bestemt bruker. | Virusskanning, forhåndsvisning av innhold, transkripsjoner. |
| c-agent <id> | Skyagent | En Webex-tjeneste som utfører en delegert forespørsel. | ECDHE / øktnøkler. |
| Sluttbrukerens UUID | - | Den autentiserte sluttbrukeren som samhandler med HDS. | En bruker henter sin egen nøkkel. |
Forespørselstyper – i detalj
Agentetiketter kategoriserer kilden til forespørselen og hjelper med å bestemme riktige tilgangskontroller. Følgende eksempler viser flere forespørselstyper og agentetikettene som er knyttet til dem.
-
Brukeragent (brukeragent):
Dette er klarerte Webex-tjenestekontoer som er knyttet til spesifikke brukerarbeidsflyter og er begrenset til kundeorganisasjonen. De brukes vanligvis når en tjeneste oppretter og administrerer nøkler på vegne av en brukerarbeidsflyt.
Eksempellogg:
2026-06-18 10:58:14.405 (+0000) INFO KMS [pool-21-thread-110] - User: b[~]4 User Type: userAgent WEBEX_TRACKINGID=MsftPresence_6[~]9, kms.data.method=create, kms.merc.id=5[~]8, kms.merc.sync=false, kms.data.uriHost=null, kms.data.type=RESOURCE_COLLECTION, kms.data.requestId=b[~]4, kms.data.orgId=null, kms.data.uri=/resources, kms.data.userId=3[~]6, kms.data.httpUserAgent=Nøkkelindikator: Eksempelloggen viser en brukeragent (
userAgent) som utfører ressursinnsamlingsoperasjoner for en Webex-tjeneste. -
Organisasjonsagent (o-agent):
Disse pålitelige Webex-tjenestekontoene er autorisert til å utføre delegerte operasjoner på vegne av brukere i HDS. Disse kontoene er knyttet til kundeorganisasjonen og utfører operasjoner på organisasjonsnivå. Denne funksjonaliteten støtter flere funksjoner, for eksempel å la samsvarsansvarlige søke og trekke ut Webex-kommunikasjonsdata – noe som sikrer organisatorisk samsvar med forskriftsmessige, sikkerhets- og personvernstandarder.
Eksempellogg:
2026-06-18 11:24:53.034 (+0000) INFO KMS [pool-19-thread-118] - WEBEX_TRACKINGID=ccc_8[~]c, kms.data.method=retrieve, kms.merc.id=2[~]a, kms.merc.sync=false, kms.data.uriHost=hds2.org5.portun.us, kms.data.type=KEY, kms.data.requestId=1[~]2, kms.data.orgId=null, kms.data.uri=kms://hds2.org5.portun.us/keys/d[~]7, kms.data.userId=o-agent 9[~]c -> userid 4[~]b, kms.data.httpUserAgent=Nøkkelindikator: Eksempelloggen viser en organisasjonsagent (
o-agent 9[~]c) som henter en nøkkel på vegne av brukeren (4[~]b) for en Webex-tjeneste. - Skyagent (c-agent):
Disse pålitelige Webex-tjenestekontoene er autorisert til å utføre operasjoner på HDS via delegert tilgang på vegne av en bruker. De støtter viktige funksjoner – som opptak etter møter, transkripsjoner, skanning mot skadelig programvare og forhåndsvisning av filer – som forbedrer den generelle brukeropplevelsen.
Selv om Cloud Agents kan deaktiveres ved å endre ISO-en, bør kunder være oppmerksomme på at dette vil føre til tap av funksjoner, for eksempel transkripsjoner av møteopptak eller automatisert skanning etter skadelig programvare.
Eksempellogg:
2026-06-18 11:27:59.388 (+0000) INFO KMS [pool-19-thread-56] - WEBEX_TRACKINGID=CLIENT_2[~]e, kms.data.method=retrieve, kms.merc.id=b[~]c, kms.merc.sync=false, kms.data.uriHost=hds2.org5.portun.us, kms.data.type=KEY, kms.data.requestId=0[~]6, kms.data.orgId=null, kms.data.uri=kms://hds2.org5.portun.us/keys/e[~]e, kms.data.userId=c-agent b[~]c -> userid 9[~]c, kms.data.httpUserAgent=Nøkkelindikator: Eksempelloggen viser en skyagent (
c-agent b[~]c) som henter en innholdsnøkkel på vegne av brukeren (9[~]c). -
Direkte interaksjon med sluttbrukere:
En autentisert bruker som samhandler direkte med HDS.
Eksempellogg:
2026-06-18 11:29:39.858 (+0000) INFO KMS [pool-19-thread-141] - kms.data.method=retrieve, kms.merc.id=a[~]d, kms.merc.sync=false, kms.data.orgId=null, kms.data.httpUserAgent=, WEBEX_TRACKINGID=CLIENT_7[~]e, kms.data.uriHost=hds2.org5.portun.us, kms.data.type=KEY, kms.data.requestId=1[~]a, kms.response.destination=https://wdm-a.wbx2.com/wdm/api/v1/devices/1[~]e, kms.response.resourceuri=null, kms.data.uri=kms://hds2.org5.portun.us/keys/b[~]b, kms.data.userId=c[~]f, kms.response.success=true Nøkkelindikator: Eksempelloggen viser en sluttbruker (
c[~]f) som henter en nøkkel og samhandler direkte med HDS.
Overvåk hybrid datasikkerhetshelse
| 1 |
I Partnerhubvelger du Tjenester fra menyen på venstre side av skjermen. |
| 2 |
I Hybrid-delen finner du Hybrid datasikkerhet og klikker på Rediger innstillinger. Siden Innstillinger for hybrid datasikkerhet vises.
|
| 3 |
I delen E-postvarsler skriver du inn én eller flere e-postadresser atskilt med komma, og trykker på Enter. |
Administrer HDS-distribusjon
Bruk oppgavene som er beskrevet her til å administrere hybrid datasikkerhetsdistribusjonen din.
Angi en tidsplan for klyngeoppgradering
Slik angir du oppgraderingsplanen:
| 1 |
Logg inn på Partner Hub. |
| 2 |
Fra menyen på venstre side av skjermen velger du Tjenester. |
| 3 |
I Hybrid-delen finner du Hybrid datasikkerhet og klikker på Konfigurer |
| 4 |
På siden Hybride datasikkerhetsressurser velger du klyngen. |
| 5 |
Klikk på fanen Klyngeinnstillinger. |
| 6 |
På siden Klyngeinnstillinger, under Oppgraderingsplan, velger du klokkeslett og tidssone for oppgraderingsplanen. Merknad: Under tidssonen vises neste tilgjengelige oppgraderingsdato og -klokkeslett. Du kan utsette oppgraderingen til neste dag om nødvendig ved å klikke på Utsett med 24 timer. |
Endre nodekonfigurasjonen
-
Endring av x.509-sertifikater på grunn av utløp eller andre årsaker.
Vi støtter ikke endring av CN-domenenavnet til et sertifikat. Domenet må samsvare med det opprinnelige domenet som ble brukt til å registrere klyngen.
-
Oppdaterer databaseinnstillinger for å endre til en kopi av PostgreSQL- eller Microsoft SQL Server-databasen.
Vi støtter ikke migrering av data fra PostgreSQL til Microsoft SQL Server, eller motsatt vei. For å bytte databasemiljø, start en ny distribusjon av Hybrid Data Security.
-
Oppretter en ny konfigurasjon for å klargjøre et nytt datasenter.
Av sikkerhetshensyn bruker Hybrid Data Security også tjenestekontopassord som har en levetid på ni måneder. Etter at HDS-oppsettverktøyet genererer disse passordene, distribuerer du dem til hver av HDS-nodene dine i ISO-konfigurasjonsfilen. Når organisasjonens passord nærmer seg utløpsdatoen, mottar du et varsel fra Webex-teamet om å tilbakestille passordet for maskinkontoen din. (E-posten inneholder teksten «Bruk maskinkonto-API-et til å oppdatere passordet.») Hvis passordene dine ikke er utløpt ennå, gir verktøyet deg to alternativer:
-
Myk tilbakestilling– Både det gamle og det nye passordet fungerer i opptil 10 dager. Bruk denne perioden til å gradvis erstatte ISO-filen på nodene.
-
Hard tilbakestilling– De gamle passordene slutter å virke umiddelbart.
Hvis passordene dine utløper uten tilbakestilling, påvirker det HDS-tjenesten din, og krever en umiddelbar hard tilbakestilling og erstatning av ISO-filen på alle noder.
Bruk denne prosedyren til å generere en ny ISO-konfigurasjonsfil og bruke den på klyngen din.
Før du begynner
-
HDS-oppsettverktøyet kjører som en Docker-container på en lokal maskin. For å få tilgang til den, kjør Docker på den maskinen. Oppsettprosessen krever påloggingsinformasjonen til en Partner Hub-konto med fulle administratorrettigheter for partneren.
Hvis du ikke har en Docker Desktop-lisens, kan du bruke Podman Desktop til å kjøre HDS-oppsettverktøyet for trinn 1.a til 1.e i prosedyren nedenfor. Se Kjør HDS-oppsettverktøyet med Podman Desktop for detaljer.
Hvis HDS-oppsettverktøyet kjører bak en proxy i miljøet ditt, må du oppgi proxy-innstillingene (server, port, legitimasjon) via Docker-miljøvariabler når du åpner Docker-containeren i 1.e. Denne tabellen viser noen mulige miljøvariabler:
Beskrivelse
Variabel
HTTP-proxy uten autentisering
GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORTHTTPS-proxy uten autentisering
GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORTHTTP-proxy med autentisering
GLOBAL_AGENT_HTTP_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORTHTTPS-proxy med autentisering
GLOBAL_AGENT_HTTPS_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT -
Du trenger en kopi av den gjeldende ISO-filen for konfigurasjonen for å generere en ny konfigurasjon. ISO-filen inneholder hovednøkkelen som krypterer PostgreSQL- eller Microsoft SQL Server-databasen. Du trenger ISO-filen når du gjør konfigurasjonsendringer, inkludert databaselegitimasjon, sertifikatoppdateringer eller endringer i autorisasjonspolicyen.
| 1 |
Kjør HDS-oppsettverktøyet ved hjelp av Docker på en lokal maskin. |
| 2 |
Hvis du bare har én HDS-node som kjører, oppretter du en ny virtuell maskin for hybrid datasikkerhetsnoden og registrerer den ved hjelp av den nye ISO-konfigurasjonsfilen. For mer detaljerte instruksjoner, se Opprett og registrer flere noder. |
| 3 |
For eksisterende HDS-noder som kjører den eldre konfigurasjonsfilen, monter ISO-filen. Utfør følgende prosedyre på hver node etter tur, og oppdater hver node før du slår av neste node: |
| 4 |
Gjenta trinn 3 for å erstatte konfigurasjonen på hver gjenværende node som kjører den gamle konfigurasjonen. |
Slå av blokkert ekstern DNS-oppløsningsmodus
Når du registrerer en node eller sjekker nodens proxy-konfigurasjon, tester prosessen DNS-oppslag og tilkobling til Cisco Webex-skyen. Hvis nodens DNS-server ikke kan løse offentlige DNS-navn, går noden automatisk inn i modus for blokkert ekstern DNS-løsning.
Hvis nodene dine kan løse offentlige DNS-navn gjennom interne DNS-servere, kan du slå av denne modusen ved å kjøre proxy-tilkoblingstesten på nytt på hver node.
Før du begynner
| 1 |
I en nettleser åpner du Hybrid Data Security-nodegrensesnittet (IP address/setup, For eksempel, https://192.0.2.0/setup), skriv inn administratorlegitimasjonen du har satt opp for noden, og klikk deretter på Logg på. |
| 2 |
Gå til Oversikt (standardsiden). Når den er aktivert, er Blokkert ekstern DNS-oppløsning satt til Ja. |
| 3 |
Gå til Trust Store & Proxy -side. |
| 4 |
Klikk på Sjekk proxy-tilkobling. Hvis du ser en melding som sier at ekstern DNS-løsning ikke var vellykket, klarte ikke noden å nå DNS-serveren og vil forbli i denne modusen. Ellers, etter at du har startet noden på nytt og går tilbake til siden Oversikt, bør Blokkert ekstern DNS-oppløsning settes til nei. |
Hva du skal gjøre nå
Fjern en node
| 1 |
Bruk VMware vSphere-klienten på datamaskinen din til å logge på den virtuelle ESXi-verten og slå av den virtuelle maskinen. |
| 2 |
Fjern noden: |
| 3 |
Slett den virtuelle maskinen i vSphere-klienten. (I venstre navigasjonsrute høyreklikker du på den virtuelle maskinen og klikker på Slett.) Hvis du ikke sletter den virtuelle maskinen, husk å avmontere konfigurasjons-ISO-filen. Uten ISO-filen kan du ikke bruke den virtuelle maskinen til å få tilgang til sikkerhetsdataene dine. |
Katastrofegjenoppretting ved bruk av standby-datasenter
Den viktigste tjenesten som hybrid datasikkerhetsklyngen din tilbyr, er oppretting og lagring av nøkler som brukes til å kryptere meldinger og annet innhold som er lagret i Webex-skyen. For hver bruker i organisasjonen som er tilordnet Hybrid Data Security, rutes nye forespørsler om nøkkeloppretting til klyngen. Klyngen er også ansvarlig for å returnere nøklene den har opprettet til alle brukere som er autorisert til å hente dem, for eksempel medlemmer av et samtaleområde.
Fordi klyngen utfører den kritiske funksjonen med å levere disse nøklene, er det avgjørende at klyngen forblir i gang og at det vedlikeholdes riktige sikkerhetskopier. Tap av Hybrid Data Security-databasen eller av konfigurasjons-ISO-en som brukes for skjemaet vil føre til UKJENOPPRETTBART TAP av kundeinnhold. Følgende fremgangsmåter er obligatoriske for å forhindre et slikt tap:
Hvis en katastrofe fører til at HDS-distribusjonen i det primære datasenteret blir utilgjengelig, følger du denne prosedyren for å manuelt bytte til reservedatasenteret.
Før du begynner
| 1 |
Start HDS-oppsettverktøyet og følg trinnene som er nevnt i Opprett en konfigurasjons-ISO for HDS-vertene. |
| 2 |
Etter at du har konfigurert Syslogd-serveren, klikker du på Avanserte innstillinger |
| 3 |
På siden Avanserte innstillinger legger du til konfigurasjonen nedenfor eller fjerner
|
| 4 |
Fullfør konfigurasjonsprosessen og lagre ISO-filen på et sted som er lett å finne. |
| 5 |
Lag en sikkerhetskopi av ISO-filen på ditt lokale system. Oppbevar sikkerhetskopien sikkert. Denne filen inneholder en hovedkrypteringsnøkkel for databaseinnholdet. Begrens tilgangen til kun de administratorene for hybrid datasikkerhet som skal gjøre konfigurasjonsendringer. |
| 6 |
I VMware vSphere-klientens venstre navigasjonsrute høyreklikker du på den virtuelle maskinen og klikker på Rediger innstillinger.. |
| 7 |
Klikk på Rediger innstillinger >CD/DVD Stasjon 1 og velg Datastore ISO-fil. Sørg for at Tilkoblet og Koble til ved oppstart er avmerket, slik at oppdaterte konfigurasjonsendringer kan tre i kraft etter at nodene har startet. |
| 8 |
Slå på HDS-noden og sørg for at det ikke er noen alarmer på minst 15 minutter. |
| 9 |
Gjenta prosessen for hver node i standby-datasenteret. Sjekk syslog-utdataene for å bekrefte at nodene i standby-datasenteret ikke er i passiv modus. «KMS konfigurert i passiv modus» skal ikke vises i systemloggene. |
Hva du skal gjøre nå
(Valgfritt) Avmonter ISO etter HDS-konfigurasjon
Standard HDS-konfigurasjonen kjører med ISO montert. Men noen kunder foretrekker å ikke la ISO-filer være kontinuerlig montert. Du kan avmontere ISO-filen etter at alle HDS-nodene har hentet den nye konfigurasjonen.
Du bruker fortsatt ISO-filene til å gjøre konfigurasjonsendringer. Når du oppretter en ny ISO eller oppdaterer en ISO via installasjonsverktøyet, må du montere den oppdaterte ISO-en på alle HDS-nodene dine. Når alle nodene dine har plukket opp konfigurasjonsendringene, kan du avmontere ISO-en igjen med denne prosedyren.
Før du begynner
Oppgrader alle HDS-nodene dine til versjon 2025.06.02.6983 eller nyere.
| 1 |
Slå av en av HDS-nodene dine. |
| 2 |
I vCenter Server Appliance velger du HDS-noden. |
| 3 |
Velg og fjern merket for Datastore ISO-fil. |
| 4 |
Slå på HDS-noden og sørg for at det ikke er noen alarmer på minst 20 minutter. |
| 5 |
Gjenta for hver HDS-node etter tur. |
Vis varsler og feilsøk
En hybrid datasikkerhetsdistribusjon anses som utilgjengelig hvis alle noder i klyngen ikke kan nås, eller klyngen fungerer så sakte at forespørsler blir tidsavbrutt. Hvis brukere ikke kan nå Hybrid Data Security-klyngen din, opplever de følgende symptomer:
-
Nye mellomrom kan ikke opprettes (kan ikke opprette nye nøkler)
-
Meldinger og romtitler klarer ikke å dekryptere for:
-
Nye brukere lagt til i et rom (kan ikke hente nøkler)
-
Eksisterende brukere i et område som bruker en ny klient (kan ikke hente nøkler)
-
-
Eksisterende brukere i et område vil fortsette å kjøre uten problemer så lenge klientene deres har en hurtigbuffer med krypteringsnøklene.
Det er viktig at du overvåker Hybrid Data Security-klyngen din ordentlig og adresserer eventuelle varsler raskt for å unngå avbrudd i tjenesten.
Varsler
Hvis det er et problem med oppsettet av hybrid datasikkerhet, viser Partner Hub varsler til organisasjonsadministratoren og sender e-poster til den konfigurerte e-postadressen. Varslene dekker mange vanlige scenarier.
|
Varsle |
Handling |
|---|---|
|
Tilgangsfeil for lokal database. |
Se etter databasefeil eller problemer med det lokale nettverket. |
|
Feil på tilkobling til lokal database. |
Kontroller at databaseserveren er tilgjengelig, og at riktig tjenestekontolegitimasjon ble brukt i nodekonfigurasjonen. |
|
Feil med tilgang til skytjenesten. |
Kontroller at nodene har tilgang til Webex-serverne som angitt i Krav til ekstern tilkobling. |
|
Fornyer registrering av skytjeneste. |
Registrering til skytjenester ble droppet. Fornyelse av registreringen pågår. |
|
Registrering av skytjeneste er fjernet. |
Registrering for skytjenester er avsluttet. Tjenesten stenges ned. |
|
Tjenesten er ikke aktivert ennå. |
Aktiver HDS i Partner Hub. |
|
Det konfigurerte domenet samsvarer ikke med serversertifikatet. |
Sørg for at serversertifikatet ditt samsvarer med det konfigurerte domenet for tjenesteaktivering. Den mest sannsynlige årsaken er at sertifikatets CN nylig ble endret og nå er forskjellig fra CN-en som ble brukt under den første oppsettet. |
|
Kunne ikke autentisere mot skytjenester. |
Sjekk nøyaktighet og mulig utløpsdato for tjenestekontolegitimasjon. |
|
Kunne ikke åpne den lokale nøkkellagerfilen. |
Sjekk integriteten og passordnøyaktigheten på den lokale nøkkellagerfilen. |
|
Det lokale serversertifikatet er ugyldig. |
Sjekk utløpsdatoen for serversertifikatet og bekreft at det ble utstedt av en pålitelig sertifiseringsinstans. |
|
Kan ikke legge ut målinger. |
Sjekk lokal nettverkstilgang til eksterne skytjenester. |
|
/media/configdrive/hds katalogen finnes ikke. |
Sjekk ISO-monteringskonfigurasjonen på den virtuelle verten. Bekreft at ISO-filen finnes, at den er konfigurert til å monteres ved omstart, og at den monteres uten problemer. |
|
Oppsettet av leietakerorganisasjonen er ikke fullført for de tillagte organisasjonene. |
Fullfør oppsettet ved å opprette CMK-er for nylig tillagte leietakerorganisasjoner ved hjelp av HDS Setup Tool. |
|
Oppsettet av leietakerorganisasjonen er ikke fullført for de fjernede organisasjonene. |
Fullfør oppsettet ved å tilbakekalle CMK-er for leietakerorganisasjoner som ble fjernet ved hjelp av HDS Setup Tool. |
Feilsøking av hybrid datasikkerhet
| 1 |
Logg inn på Partner Hub. |
| 2 |
Fra menyen på venstre side av skjermen velger du Tjenester. |
| 3 |
I Hybrid-delen finner du Hybrid datasikkerhet og klikker på Hendelser. |
| 4 |
Se gjennom hendelseshistorikken for varsler, og fiks eventuelle elementer du finner der. Se bildet nedenfor som referanse. |
| 5 |
Se gjennom syslog-serverutdataene for aktivitet fra Hybrid Data Security-distribusjonen. Filtrer etter ord som «Advarsel» og «Feil» for å hjelpe til med feilsøking. |
| 6 |
Kontakt Cisco-kundestøtte. |
HDS-utvikler-API-er
HDS Developer API-ene er en måte å hente analyse- og overvåkingsdata på, samt feilsøke HDS-distribusjonene dine via Webex Developer Portal. API-ene er tilgjengelige på https://developer.webex.com/messaging/docs/api/v1/hds.
Kjente problemer for hybrid datasikkerhet
-
Hvis du slår av alle dine aktive Hybrid Data Security-klynger (ved å slette dem i Partner Hub eller ved å slå av alle noder), mister konfigurasjons-ISO-filen eller mister tilgang til nøkkellagerdatabasen, kan ikke Webex-appbrukere av kundeorganisasjoner lenger bruke mellomrom under personlisten sin som ble opprettet med nøkler fra KMS-systemet ditt. Vi har for øyeblikket ingen løsning eller løsning på dette problemet, og vi oppfordrer deg til ikke å stenge ned HDS-tjenestene dine når de håndterer aktive brukerkontoer.
-
En klient som har en eksisterende ECDH-tilkobling til et KMS, opprettholder denne tilkoblingen i en periode (sannsynligvis én time).
Kjør HDS Setup-verktøyet med Podman Desktop
Podman er et gratis og åpen kildekode-verktøy for containeradministrasjon som gir en måte å kjøre, administrere og opprette containere på. Podman Desktop kan lastes ned fra https://podman-desktop.io/downloads.
-
HDS-oppsettverktøyet kjører som en Docker-container på en lokal maskin. For å få tilgang til den, last ned og kjør Podman på den maskinen. Konfigurasjonsprosessen krever legitimasjonen til en Control Hub-konto med fulle administratorrettigheter for organisasjonen din.
Hvis HDS-oppsettverktøyet kjører bak en proxy i miljøet ditt, må du oppgi proxy-innstillingene (server, port, legitimasjon) via Docker-miljøvariabler når du åpner Docker-containeren i trinn 5. Denne tabellen viser noen mulige miljøvariabler:
Beskrivelse
Variabel
HTTP-proxy uten autentisering
GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORTHTTPS-proxy uten autentisering
GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORTHTTP-proxy med autentisering
GLOBAL_AGENT_HTTP_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORTHTTPS-proxy med autentisering
GLOBAL_AGENT_HTTPS_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT -
Konfigurasjons-ISO-filen du genererer inneholder hovednøkkelen som krypterer PostgreSQL- eller Microsoft SQL Server-databasen. Du trenger den nyeste kopien av denne filen hver gang du gjør konfigurasjonsendringer, som disse:
-
Databaselegitimasjon
-
Sertifikatoppdateringer
-
Endringer i autorisasjonspolicyen
-
-
Hvis du planlegger å kryptere databasetilkoblinger, må du konfigurere PostgreSQL- eller SQL Server-distribusjonen din for TLS.
Konfigurasjonsprosessen for hybrid datasikkerhet oppretter en ISO-fil. Deretter bruker du ISO-filen til å konfigurere Hybrid Data Security-verten din.
| 1 |
Skriv inn riktig kommando for miljøet ditt på maskinens kommandolinje: I vanlige miljøer: I FedRAMP-miljøer: Dette trinnet rydder opp i tidligere bilder av HDS-oppsettverktøyet. Hvis det ikke finnes noen tidligere bilder, returnerer den en feil som du kan ignorere. |
| 2 |
For å logge på Docker-avbildningsregisteret, skriv inn følgende: |
| 3 |
Ved passordledeteksten skriver du inn denne hashen: |
| 4 |
Last ned det nyeste stabile bildet for miljøet ditt: I vanlige miljøer: I FedRAMP-miljøer: |
| 5 |
Når hentingen er fullført, skriver du inn riktig kommando for miljøet ditt:
Når containeren kjører, ser du «Express-server lytter på port 8080». Installasjonsverktøyet støtter ikke tilkobling til localhost via http://localhost:8080. Bruk http://127.0.0.1:8080 for å koble til localhost. |
Hva du skal gjøre nå
Flytt den eksisterende HDS-distribusjonen med én leietaker fra en partnerorganisasjon i Control Hub til et HDS-oppsett med flere leietakere i Partner Hub
Konverteringen fra en eksisterende HDS-distribusjon med én leier i en partnerorganisasjon administrert i Control Hub til en HDS-distribusjon med flere leiere administrert i Partner Hub innebærer hovedsakelig å deaktivere HDS-tjenesten i Control Hub, avregistrere noder og slette klyngen. Deretter kan du logge inn på Partner Hub, registrere nodene, aktivere Multi-Tenant HDS og legge til kunder i klyngen din.
Begrepet «enkeltleietaker» refererer ganske enkelt til en eksisterende HDS-distribusjon i Control Hub.
Deaktiver HDS, avregistrer noder og slett alle klynger i Control Hub
| 1 |
Logg inn på Kontrollhub. Klikk på Hybridi venstre rute. Klikk på Rediger innstillingerpå Hybrid Data Security-kortet. |
| 2 |
På innstillingssiden blar du ned til Deaktiver-delen og klikker på Deaktiver. |
| 3 |
Etter deaktivering, klikk på fanen Ressurser. |
| 4 |
Siden Ressurser viser en liste over klynger i HDS-distribusjonen din. Klikk på en klynge, så åpnes en side med alle noder under den klyngen. |
| 5 |
Klikk på |
| 6 |
Hvis distribusjonen din har flere klynger, gjenta trinn 4 og trinn 5 til alle noder er avregistrert. |
| 7 |
Klikk på Klyngeinnstillinger > Fjern. |
| 8 |
Klikk på Bekreft fjerning for å avregistrere klyngen. |
| 9 |
Gjenta prosessen for alle klynger i HDS-distribusjonen din. Etter deaktivering av HDS, avregistrering av noder og fjerning av klynger, vil Hybrid Data Service-kortet på Control Hub ha Oppsettet ikke fullført vist nederst. |
Aktiver Multi-Tenant HDS for partnerorganisasjonen på Partner Hub og legg til kunder
Før du begynner
Alle forutsetningene nevnt i Krav til hybrid datasikkerhet for flere leietakere gjelder her. I tillegg må du sørge for at samme database og sertifikater brukes under overføringen til Multi-Tenant HDS.
| 1 |
Logg inn på Partner Hub. Klikk på Tjenester i venstre rute. Bruk den samme ISO-en fra den forrige HDS-distribusjonen din til å konfigurere nodene. Dette vil sikre at meldinger og innhold generert av brukerne i den forrige eksisterende HDS-distribusjonen fortsatt er tilgjengelig i det nye oppsettet for flere leietakere. |
| 2 |
I Hybrid-delen finner du Hybrid Data Security-kortet og klikker på Konfigurer. |
| 3 |
På siden som åpnes, klikk på Legg til en ressurs. |
| 4 |
I det første feltet på kortet Opprett en klynge skriver du inn et navn på klyngen du vil tilordne Hybrid Data Security-noden til. Vi anbefaler at du navngir en klynge basert på hvor nodene i klyngen befinner seg geografisk. Eksempler: «San Francisco» eller «New York» eller «Dallas» |
| 5 |
I det andre feltet skriver du inn den interne IP-adressen eller det fullstendig kvalifiserte domenenavnet (FQDN) til noden din og klikker på Legg til nederst på skjermen. Denne IP-adressen eller FQDN-en skal samsvare med IP-adressen eller vertsnavnet og domenet du brukte i Konfigurer den hybride virtuelle datamaskinen for datasikkerhet. Det vises en melding som angir at du kan registrere noden din i Webex.
|
| 6 |
Klikk på Gå til node. Etter noen få øyeblikk blir du omdirigert til nodetilkoblingstestene for Webex-tjenester. Hvis alle testene er vellykkede, vises siden Tillat tilgang til hybrid datasikkerhetsnode. Der bekrefter du at du vil gi Webex-organisasjonen din tillatelse til å få tilgang til noden din. |
| 7 |
Merk av i boksen Tillat tilgang til hybrid datasikkerhetsnode, og klikk deretter på Fortsett. Kontoen din er validert, og meldingen «Registrering fullført» indikerer at noden din nå er registrert i Webex Cloud. På siden Hybrid datasikkerhet vises den nye klyngen som inneholder noden du registrerte, under fanen Ressurser. Noden vil automatisk laste ned den nyeste programvaren fra skyen.
|
| 8 |
Gå til fanen Innstillinger og klikk på Aktiver på HDS-statuskortet. Meldingen om aktivert HDS vises nederst på skjermen.
|
| 9 |
Klikk på fanen Tildelte kunder. |
| 10 |
Klikk på Legg til kunder. |
| 11 |
Velg kunden du vil legge til fra rullegardinmenyen. |
| 12 |
Klikk på Legg til, kunden vil bli lagt til i klyngen. |
| 13 |
Gjenta trinn 11 til 13 for å legge til flere kunder i klyngen din. |
| 14 |
Klikk på Ferdig nederst på skjermen når du har lagt til kundene. |
Hva du skal gjøre nå
Bruk OpenSSL til å generere en PKCS12-fil
Før du begynner
-
OpenSSL er et verktøy som kan brukes til å lage PKCS12-filen i riktig format for lasting i HDS Setup Tool. Det finnes andre måter å gjøre dette på, og vi støtter eller fremmer ikke én måte fremfor en annen.
-
Hvis du velger å bruke OpenSSL, tilbyr vi denne prosedyren som en veiledning for å hjelpe deg med å opprette en fil som oppfyller X.509-sertifikatkravene i X.509-sertifikatkrav. Forstå disse kravene før du fortsetter.
-
Installer OpenSSL i et støttet miljø. Se https://www.openssl.org for programvare og dokumentasjon.
-
Opprett en privat nøkkel.
-
Start denne prosedyren når du mottar serversertifikatet fra sertifiseringsinstansen din (CA).
| 1 |
Når du mottar serversertifikatet fra CA-en din, lagrer du det som |
| 2 |
Vis sertifikatet som tekst, og bekreft detaljene.
|
| 3 |
Bruk en teksteditor til å opprette en sertifikatpakkefil kalt
|
| 4 |
Opprett .p12-filen med det egendefinerte navnet
|
| 5 |
Sjekk detaljene for serversertifikatet. |
Hva du skal gjøre nå
Gå tilbake til Fullfør forutsetningene for hybrid datasikkerhet. Du bruker hdsnode.p12 -filen og passordet du har angitt for den i Opprett en konfigurasjons-ISO for HDS-vertene.
Du kan bruke disse filene på nytt for å be om et nytt sertifikat når det opprinnelige sertifikatet utløper.
Trafikk mellom HDS-nodene og skyen
Utgående målinger Innsamling av trafikk
Hybrid datasikkerhetsnodene sender visse målinger til Webex-skyen. Disse inkluderer systemmålinger for heap maks, heap brukt, CPU-belastning og trådantall; målinger på synkrone og asynkrone tråder; målinger på varsler som involverer en terskel for krypteringstilkoblinger, latens eller en forespørselskølengde; målinger på datalageret; og målinger for krypteringstilkoblinger. Nodene sender kryptert nøkkelmateriale over en out-of-band (separat fra forespørselen) kanal.
Innkommende trafikk
Hybride datasikkerhetsnoder mottar følgende typer innkommende trafikk fra Webex-skyen:
-
Krypteringsforespørsler fra klienter, som rutes av krypteringstjenesten
-
Oppgraderinger til nodeprogramvaren
Konfigurer Squid-proxyer for hybrid datasikkerhet
Websocket kan ikke koble til via Squid-proxyen
Squid-proxyer som inspiserer HTTPS-trafikk kan forstyrre etableringen av websocket (wss:)-tilkoblinger som Hybrid Data Security krever. Disse avsnittene gir veiledning om hvordan du konfigurerer ulike versjoner av Squid til å ignorere wss: -trafikk for at tjenestene skal fungere som de skal.
Blekksprut 4 og 5
Legg til on_unsupported_protocol -direktivet i squid.conf:
on_unsupported_protocol tunnel allBlekksprut 3.5.27
Vi testet hybrid datasikkerhet med følgende regler lagt til i squid.conf. Disse reglene kan endres etter hvert som vi utvikler funksjoner og oppdaterer Webex-skyen.
acl wssMercuryConnection ssl::server_name_regex mercury-connection
ssl_bump splice wssMercuryConnection
acl step1 at_step SslBump1
acl step2 at_step SslBump2
acl step3 at_step SslBump3
ssl_bump peek step1 all
ssl_bump stare step2 all
ssl_bump bump step3 allNy og endret informasjon
Denne tabellen dekker nye funksjoner eller funksjonalitet, endringer i eksisterende innhold og eventuelle større feil som ble rettet i Distribusjonsveiledningen for hybrid datasikkerhet for flere leietakere.
|
Dato |
Endringer gjort |
|---|---|
| 2. juli 2026 |
|
| 23. juni 2026 |
|
| 1. juni 2026 |
|
| 16. april 2026 |
|
| 25. mars 2026 |
|
|
5. desember 2025 |
|
|
21. november 2025 |
|
|
8. mai 2025 |
|
| 4. mars 2025 |
|
|
30. januar 2025 |
La til SQL Server versjon 2022 i listen over støttede SQL-servere i Krav til databaseserver. |
|
15. januar 2025 |
Lagt til Begrensninger for hybrid datasikkerhet med flere leietakere. |
|
8. januar 2025 |
La til et notat i Utfør første oppsett og last ned installasjonsfiler som sier at det å klikke på Konfigurer på HDS-kortet i Partner Hub er et viktig trinn i installasjonsprosessen. |
|
7. januar 2025 |
Oppdaterte Krav til virtuell vert, Oppgaveflyt for distribusjon av hybrid datasikkerhetog Installer HDS-verten OVA for å vise de nye kravene til ESXi 7.0. |
|
13. desember 2024 |
Først publisert. |
Oppgaveflyt for deaktivering av HDS for flere leietakere
Følg disse trinnene for å deaktivere HDS med flere leietakere fullstendig.
Før du begynner
| 1 |
Fjern alle kunder fra alle klyngene dine, som nevnt i Fjern leietakerorganisasjoner. |
| 2 |
Tilbakekalle CMK-ene til alle kunder, som nevnt i Tilbakekalle CMK-er for leietakere fjernet fra HDS.. |
| 3 |
Fjern alle noder fra alle klyngene dine, som nevnt i Fjern en node. |
| 4 |
Slett alle klyngene dine fra Partner Hub ved hjelp av én av følgende to metoder.
|
| 5 |
Klikk på fanen Innstillinger på oversiktssiden for hybrid datasikkerhet, og klikk på Deaktiver HDS på HDS-statuskortet. |
Ofte stilte spørsmål
Q. Lagres CMK-ene og hovednøkkelen i ISO-filen eller i databasen?
EN. Kundens hovednøkler (CMK-er) lagres i databasen og krypteres med hovednøkkelen, som er lagret i ISO-en.
Q. Brukes én nøkkel til å kryptere alle dataene til kundeorganisasjoner?
EN. Nei. Hver kundeorganisasjons data er kryptert med sin egen CMK (kundens hovednøkkel).
Q. Hva skjer hvis jeg deaktiverer HDS fra Partner Hub?
EN. Enkelte operasjoner, som å opprette et lokale og planlegge møter, vil bli påvirket umiddelbart. Eksisterende innhold i rom vil være tilgjengelig inntil den lokale hurtigbufferen utløper. Etter 24 timer vil brukere som administreres av partneren bytte til Cloud KMS, og det kan oppstå problemer med tidligere opprettede områder og én-til-én-områder.
Q. Når CMK-en er generert for en kundeorganisasjon via HDS-oppsettverktøyet, begynner brukerne av kundeorganisasjonen umiddelbart å bruke Multi-Tenant HDS?
EN. Det kan være en maksimal forsinkelse på 24 timer før skybufferen oppdateres.
Q. Hvorfor ser jeg ikke en liste over kunder når jeg klikker på «Legg til kunder»-knappen i Partner Hub?
EN. Dette betyr vanligvis at det ikke finnes noen kundeorganisasjoner som oppfyller Cisco Webex-lisenskravene.
Spørsmål: Hva blir konsekvensen hvis alle HDS-noder stenges ned, eller hvis et nettverksproblem påvirker alle HDS-noder?
EN. Operasjoner som å opprette rom og planlegge møter påvirkes umiddelbart. Eksisterende innhold er bare tilgjengelig inntil den lokale hurtigbufferen utløper.
Q. Er partnerorganisasjonens brukerdata kryptert med hovednøkkelen som ble generert under ISO-opprettelsen?
EN. Ja. For øyeblikket er partnerorganisasjonens brukerdata kryptert med hovednøkkelen. I fremtiden vil partnerorganisasjoner ha partnerspesifikke nøkler, i likhet med kundenes CMK-er.
Spørsmål: Kan partnerorganisasjonen og leietakerorganisasjonene være i forskjellige regioner (for eksempel USA og EU)?
EN. Ja. Partner- og leietakerorganisasjoner kan være lokalisert i forskjellige geografiske regioner.
Spørsmål: Finnes det noen mekanisme for å flytte nøkler tilbake til Cloud KMS?
EN. Det finnes ingen mekanisme for å flytte nøkler tilbake til skyen etter en HDS-distribusjon.
Spørsmål: Kan en partner fortsette å bruke Cloud KMS og utelukkende bruke Multi-Tenant HDS til å administrere kunder?
EN. Nei, dette støttes ikke for øyeblikket. Støtte for denne funksjonaliteten er planlagt for fremtiden.
Spørsmål: Hvordan kan en partner bekrefte at organisasjonen deres bruker Multi-Tenant HDS for kryptering?
EN. Logg inn på Partner Hub. Gå til Tjenester > Hybrid datasikkerhet > Innstillinger . Hvis HDS-status er aktivert, bruker brukere av partnerorganisasjonen samt tildelte kunder HDS med flere leietakere.
Alternativt kan du sjekke sysloggene dine for å bekrefte at HDS er aktivert. Se Test hybrid datasikkerhetsimplementering.
Spørsmål: Finnes det et alternativ til Docker Desktop for å kjøre HDS-oppsettverktøyet?
EN. Ja. Podman Desktop er et åpen kildekode-alternativ til Docker Desktop. Se Kjør HDS-oppsettverktøyet med Podman Desktop.
Q. Hvor mange noder kan jeg distribuere i en HDS-klynge med flere leietakere?
EN. Vi anbefaler minimum to noder og maksimum 1000.
Q. Hva er nettverkskravene som kreves for å sette opp Multi-Tenant HDS?
EN. Se Krav til ekstern tilkobling.
Q. Er Pro Pack for Control Hub et krav for partnerorganisasjoner?
EN. Nei. Pro Pack er ikke et krav for partnerorganisasjoner. Kontakt Cisco-partneren eller kontoansvarlig for å få hjelp med å konfigurere Multi-Tenant HDS.
Spørsmål: Støttes HSM i HDS med flere leietakere?
EN. Nei, for øyeblikket støtter ikke Multi-Tenant HDS HSM.
Q. Kan jeg teste flerbruker-HDS med et selvsignert sertifikat?
EN. Nei. Multi-Tenant HDS krever et sertifikat hentet fra en klarert CA som oppfyller alle kravene nevnt i X.509-sertifikatkrav.
Spørsmål: Er det nødvendig å montere ISO-en hver gang en ny kunde legges til i Partner Hub?
EN. Nei. ISO-en trenger bare å monteres når du endrer ISO-konfigurasjoner. Når du legger til en ny kunde i Partner Hub, må du sørge for at du kan opprette CMK-er ved hjelp av HDS-oppsettverktøyet. Se Opprett kundens hovednøkler (CMK-er) ved hjelp av HDS-oppsettverktøyet.
Q. Etter at Multi-Tenant HDS er distribuert på Partner Hub, begynner brukere av partnerorganisasjonen å bruke lokale KMS for nøkkeladministrasjon?
EN. Brukere vil bare begynne å bruke lokale KMS for nøkkeladministrasjon etter at HDS er aktivert i Partner Hub.
Oversikt over hybrid datasikkerhet for flere leietakere
Fra dag én har datasikkerhet vært hovedfokuset i utformingen av Webex-appen. Hjørnesteinen i denne sikkerheten er ende-til-ende-innholdskryptering, aktivert av Webex-appklienter som samhandler med nøkkelhåndteringstjenesten (KMS). KMS-et er ansvarlig for å opprette og administrere kryptografiske nøkler som klienter bruker til å dynamisk kryptere og dekryptere meldinger og filer.
Som standard får alle Webex-appkunder ende-til-ende-kryptering med dynamiske nøkler lagret i sky-KMS, i Ciscos sikkerhetsområde. Hybrid datasikkerhet flytter KMS-systemet og andre sikkerhetsrelaterte funksjoner til bedriftens datasenter, slik at ingen andre enn deg har nøklene til det krypterte innholdet.
Hybrid datasikkerhet for flere leietakere lar organisasjoner utnytte HDS gjennom en pålitelig lokal partner, som kan fungere som en tjenesteleverandør og administrere lokal kryptering og andre sikkerhetstjenester. Dette oppsettet gir partnerorganisasjonen full kontroll over distribusjon og administrasjon av krypteringsnøkler og sikrer at brukerdata fra kundeorganisasjoner er trygge fra ekstern tilgang. Partnerorganisasjoner setter opp HDS-instanser og oppretter HDS-klynger etter behov. Hver instans kan støtte flere kundeorganisasjoner, i motsetning til en vanlig HDS-distribusjon som er begrenset til én enkelt organisasjon.
Dette gjør det også mulig for mindre organisasjoner å utnytte HDS, siden nøkkelhåndteringstjenester og sikkerhetsinfrastruktur som datasentre eies av den pålitelige lokale partneren.
Hvordan hybrid datasikkerhet med flere leietakere gir datasuverenitet og datakontroll
- Brukergenerert innhold er beskyttet mot ekstern tilgang, som fra skytjenesteleverandører.
- Lokale betrodde partnere administrerer krypteringsnøklene til kunder de allerede har et etablert forhold til.
- Mulighet for lokal teknisk støtte, hvis partneren tilbyr dette.
- Støtter møter, meldinger og samtaleinnhold.
Dette dokumentet har som mål å hjelpe partnerorganisasjoner med å sette opp og administrere kunder under et hybrid datasikkerhetssystem for flere leietakere.
Begrensninger ved hybrid datasikkerhet for flere leietakere
- Partnerorganisasjoner må ikke ha noen eksisterende HDS-distribusjon aktiv i Control Hub.
- Leietaker- eller kundeorganisasjoner som ønsker å bli administrert av en partner, må ikke ha noen eksisterende HDS-distribusjon i Control Hub.
- Når Multi-Tenant HDS er distribuert av partneren, begynner alle brukere av kundeorganisasjoner samt brukere av partnerorganisasjonen å bruke Multi-Tenant HDS for sine krypteringstjenester.
Partnerorganisasjonen og kundeorganisasjonene de administrerer vil være på samme Multi-Tenant HDS-distribusjon.
Partnerorganisasjonen vil ikke lenger bruke skybasert KMS etter at Multi-Tenant HDS er distribuert.
- Det finnes ingen mekanisme for å flytte nøkler tilbake til Cloud KMS etter en HDS-distribusjon.
- Administratorroller har visse begrensninger. Se avsnittet nedenfor for detaljer.
Roller i hybrid datasikkerhet med flere leietakere
- Fullstendig partneradministrator – Kan administrere innstillinger for alle kunder som partneren administrerer. Kan også tilordne administratorroller til eksisterende brukere i organisasjonen og tilordne bestemte kunder som skal administreres av partneradministratorer.
- Partneradministrator – Kan administrere innstillinger for kunder som administratoren har klargjort eller som er tilordnet brukeren.
- Full administrator – Administrator for partnerorganisasjonen som er autorisert til å utføre oppgaver som å endre organisasjonsinnstillinger, administrere lisenser og tildele roller.
- Oppsett og administrasjon av komplett HDS for flere leietakere for alle kundeorganisasjoner – Full administratorrettigheter for partneren kreves.
- Administrasjon av tildelte leietakerorganisasjoner - Partneradministrator og fulle administratorrettigheter kreves.
Sikkerhetsrikets arkitektur
Webex-skyarkitekturen skiller ulike typer tjenester inn i separate områder, eller tillitsdomener, som vist nedenfor.
For å forstå hybrid datasikkerhet bedre, la oss først se på dette rene skytilfellet, der Cisco tilbyr alle funksjoner i skyverdenen sin. Identitetstjenesten, det eneste stedet hvor brukere kan bli direkte korrelert med sin personlige informasjon, som for eksempel e-postadresse, er logisk og fysisk atskilt fra sikkerhetsområdet i datasenter B. Begge er igjen atskilt fra området der kryptert innhold til slutt lagres, i datasenter C.
I dette diagrammet er klienten Webex-appen som kjører på en brukers bærbare datamaskin, og som har autentisert seg med identitetstjenesten. Når brukeren skriver en melding som skal sendes til et rom, skjer følgende trinn:
-
Klienten oppretter en sikker forbindelse med nøkkelhåndteringstjenesten (KMS), og ber deretter om en nøkkel for å kryptere meldingen. Den sikre forbindelsen bruker ECDH, og KMS krypterer nøkkelen med en AES-256-hovednøkkel.
-
Meldingen krypteres før den forlater klienten. Klienten sender den til indekseringstjenesten, som oppretter krypterte søkeindekser for å hjelpe til med fremtidige søk etter innholdet.
-
Den krypterte meldingen sendes til samsvarstjenesten for samsvarskontroller.
-
Den krypterte meldingen lagres i lagringsområdet.
Når du distribuerer hybrid datasikkerhet, flytter du sikkerhetsfunksjonene (KMS, indeksering og samsvar) til ditt lokale datasenter. De andre skytjenestene som utgjør Webex (inkludert identitets- og innholdslagring) forblir i Ciscos område.
Samarbeid med andre organisasjoner
Brukere i organisasjonen din kan regelmessig bruke Webex-appen til å samarbeide med eksterne deltakere i andre organisasjoner. Når en av brukerne dine ber om en nøkkel til et område som eies av organisasjonen din (fordi det ble opprettet av en av brukerne dine), sender KMS-systemet ditt nøkkelen til klienten via en ECDH-sikret kanal. Men når en annen organisasjon eier nøkkelen for plassen, ruter KMS-systemet ditt forespørselen ut til Webex-skyen gjennom en separat ECDH-kanal for å hente nøkkelen fra det aktuelle KMS-systemet, og returnerer deretter nøkkelen til brukeren din på den opprinnelige kanalen.
KMS-tjenesten som kjører på organisasjon A validerer tilkoblingene til KMS-er i andre organisasjoner ved hjelp av x.509 PKI-sertifikater. Se Klargjør miljøet ditt for detaljer om hvordan du genererer et x.509-sertifikat som skal brukes med din Multi-Tenant Hybrid Data Security-distribusjon.
Forventninger til implementering av hybrid datasikkerhet
En implementering av hybrid datasikkerhet krever betydelig forpliktelse og en bevissthet om risikoene som følger med å eie krypteringsnøkler.
For å implementere hybrid datasikkerhet må du oppgi:
-
Et sikkert datasenter i et land som er et støttet sted for Cisco Webex Teams-abonnementene.
-
Utstyret, programvaren og nettverkstilgangen som er beskrevet i Klargjør miljøet ditt.
Fullstendig tap av enten konfigurasjons-ISO-en du bygger for Hybrid Data Security eller databasen du oppgir, vil føre til tap av nøklene. Nøkkeltap hindrer brukere i å dekryptere plassinnhold og andre krypterte data i Webex-appen. Hvis dette skjer, kan du bygge en ny distribusjon, men bare nytt innhold vil være synlig. For å unngå tap av tilgang til data, må du:
-
Administrer sikkerhetskopiering og gjenoppretting av databasen og konfigurasjons-ISO-en.
-
Vær forberedt på å utføre rask katastrofegjenoppretting hvis en katastrofe inntreffer, for eksempel feil på databasedisken eller datasenterkatastrofe.
Det finnes ingen mekanisme for å flytte nøkler tilbake til skyen etter en HDS-distribusjon.
Høynivåoppsettprosess
Dette dokumentet dekker oppsett og administrasjon av en hybrid datasikkerhetsdistribusjon med flere leietakere:
-
Konfigurer hybrid datasikkerhet– Dette inkluderer å forberede nødvendig infrastruktur og installere hybrid datasikkerhetsprogramvare, bygge en HDS-klynge, legge til leietakerorganisasjoner i klyngen og administrere kundens hovednøkler (CMK-er). Dette vil gjøre det mulig for alle brukere i kundeorganisasjonene dine å bruke hybriddatasikkerhetsklyngen din til sikkerhetsfunksjoner.
Oppsett-, aktiverings- og administrasjonsfasene dekkes i detalj i de neste tre kapitlene.
-
Vedlikehold din hybride datasikkerhetsdistribusjon– Webex-skyen tilbyr automatisk kontinuerlige oppgraderinger. IT-avdelingen din kan tilby støtte på nivå én for denne utrullingen, og engasjere Cisco-støtte etter behov. Du kan bruke varsler på skjermen og konfigurere e-postbaserte varsler i Partner Hub.
-
Forstå vanlige varsler, feilsøkingstrinn og kjente problemer– Hvis du støter på problemer med å distribuere eller bruke Hybrid Data Security, kan det siste kapittelet i denne veiledningen og tillegget om kjente problemer hjelpe deg med å finne og løse problemet.
Hybrid distribusjonsmodell for datasikkerhet
Innenfor bedriftens datasenter distribuerer du Hybrid Data Security som en enkelt klynge av noder på separate virtuelle verter. Nodene kommuniserer med Webex-skyen via sikre websockets og sikker HTTP.
Under installasjonsprosessen gir vi deg OVA-filen for å konfigurere den virtuelle enheten på de virtuelle maskinene du stiller til rådighet. Du bruker HDS-oppsettverktøyet til å opprette en tilpasset ISO-fil for klyngekonfigurasjon som du monterer på hver node. Hybrid Data Security-klyngen bruker den oppgitte Syslogd-serveren og PostgreSQL- eller Microsoft SQL Server-databasen. (Du konfigurerer Syslogd og databasetilkoblingsdetaljene i HDS-oppsettverktøyet.)
Minimum antall noder du kan ha i en klynge er to. Vi anbefaler minst tre per klynge. Å ha flere noder sikrer at tjenesten ikke avbrytes under en programvareoppgradering eller annen vedlikeholdsaktivitet på en node. (Webex-skyen oppgraderer bare én node om gangen.)
Alle noder i en klynge har tilgang til det samme nøkkeldatalageret og logger aktivitet til den samme syslog-serveren. Selve nodene er statsløse og håndterer viktige forespørsler i runde-robin-modus, som anvist av skyen.
Noder blir aktive når du registrerer dem i Partner Hub. For å ta en individuell node ut av drift, kan du avregistrere den og senere registrere den på nytt om nødvendig.
Standby-datasenter for katastrofegjenoppretting
Under utrullingen setter du opp et sikkert reservedatasenter. I tilfelle en datasenterkatastrofe kan du manuelt overføre utrullingen til reservedatasenteret.
Databasene til de aktive og standby-datasentrene er synkroniserte med hverandre, noe som vil minimere tiden det tar å utføre failover.
De aktive Hybrid Data Security-nodene må alltid være i samme datasenter som den aktive databaseserveren.
Sett opp et reservedatasenter for katastrofegjenoppretting
Følg trinnene nedenfor for å konfigurere ISO-filen til standby-datasenteret:
Før du begynner
-
Standby-datasenteret bør speile produksjonsmiljøet til virtuelle maskiner og en sikkerhetskopi av PostgreSQL- eller Microsoft SQL Server-database. Hvis for eksempel produksjonen har 3 virtuelle maskiner som kjører HDS-noder, bør sikkerhetskopieringsmiljøet ha 3 virtuelle maskiner. (Se Standby-datasenter for katastrofegjenoppretting for en oversikt over denne failover-modellen.)
-
Sørg for at databasesynkronisering er aktivert mellom databasen til aktive og passive klyngenoder.
| 1 |
Start HDS-oppsettverktøyet og følg trinnene som er nevnt i Opprett en konfigurasjons-ISO for HDS-vertene. ISO-filen må være en kopi av den originale ISO-filen til det primære datasenteret som følgende konfigurasjonsoppdateringer skal gjøres på. |
| 2 |
Etter at du har konfigurert Syslogd-serveren, klikker du på Avanserte innstillinger |
| 3 |
På siden Avanserte innstillinger legger du til konfigurasjonen nedenfor for å sette noden i passiv modus. I denne modusen vil noden være registrert i organisasjonen og koblet til skyen, men vil ikke håndtere noen trafikk.
|
| 4 |
Fullfør konfigurasjonsprosessen og lagre ISO-filen på et sted som er lett å finne. |
| 5 |
Lag en sikkerhetskopi av ISO-filen på ditt lokale system. Oppbevar sikkerhetskopien sikkert. Denne filen inneholder en hovedkrypteringsnøkkel for databaseinnholdet. Begrens tilgangen til kun de administratorene for hybrid datasikkerhet som skal gjøre konfigurasjonsendringer. |
| 6 |
I VMware vSphere-klientens venstre navigasjonsrute høyreklikker du på den virtuelle maskinen og klikker på Rediger innstillinger.. |
| 7 |
Klikk på Rediger innstillinger >CD/DVD Stasjon 1 og velg ISO-fil for datalager. Sørg for at Tilkoblet og Koble til ved oppstart er avmerket, slik at oppdaterte konfigurasjonsendringer kan tre i kraft etter at nodene har startet. |
| 8 |
Slå på HDS-noden og sørg for at det ikke er noen alarmer på minst 15 minutter. |
| 9 |
Gjenta prosessen for hver node i standby-datasenteret. Sjekk sysloggene for å bekrefte at nodene er i passiv modus. Du skal kunne se meldingen «KMS konfigurert i passiv modus» i sysloggene. |
Hva du skal gjøre nå
Etter at du har konfigurert passiveMode i ISO-filen og lagret den, kan du opprette en ny kopi av ISO-filen uten passiveMode -konfigurasjonen og lagre den på et sikkert sted. Denne kopien av ISO-filen uten passiveMode konfigurert kan bidra til en rask failover-prosess under katastrofegjenoppretting. Se Katastrofegjenoppretting ved bruk av Standby Data Center for den detaljerte failover-prosedyren.
Proxy-støtte
Hybrid datasikkerhet støtter eksplisitte, transparente inspiserende og ikke-inspiserende proxyer. Du kan knytte disse proxy-tjenerne til distribusjonen din, slik at du kan sikre og overvåke trafikk fra bedriften og ut til skyen. Du kan bruke et plattformadministratorgrensesnitt på nodene for sertifikatadministrasjon og for å sjekke den generelle tilkoblingsstatusen etter at du har konfigurert proxyen på nodene.
Hybrid Data Security-nodene støtter følgende proxy-alternativer:
-
Ingen proxy– Standardinnstillingen hvis du ikke bruker HDS-nodeoppsettet Trust Store & Proxy-konfigurasjon for å integrere en proxy. Ingen sertifikatoppdatering er nødvendig.
-
Transparent ikke-inspiserende proxy– Nodene er ikke konfigurert til å bruke en spesifikk proxy-serveradresse og skal ikke kreve noen endringer for å fungere med en ikke-inspiserende proxy. Ingen sertifikatoppdatering er nødvendig.
-
Transparent tunnelering eller inspeksjon av proxy– Nodene er ikke konfigurert til å bruke en spesifikk proxy-serveradresse. Ingen endringer i HTTP- eller HTTPS-konfigurasjonen er nødvendige på nodene. Nodene trenger imidlertid et rotsertifikat slik at de stoler på proxyen. Inspeksjon av proxyer brukes vanligvis av IT for å håndheve retningslinjer for hvilke nettsteder som kan besøkes og hvilke typer innhold som ikke er tillatt. Denne typen proxy dekrypterer all trafikken din (til og med HTTPS).
-
Eksplisitt proxy– Med eksplisitt proxy forteller du HDS-nodene hvilken proxy-server og autentiseringsskjema de skal bruke. For å konfigurere en eksplisitt proxy, må du angi følgende informasjon på hver node:
-
Proxy IP/FQDN– Adresse som kan brukes til å nå proxy-maskinen.
-
Proxy-port– Et portnummer som proxyen bruker til å lytte etter proxy-trafikk.
-
Proxy-protokoll– Avhengig av hva proxy-serveren din støtter, kan du velge mellom følgende protokoller:
-
HTTP – Viser og kontrollerer alle forespørsler som klienten sender.
-
HTTPS – Gir en kanal til serveren. Klienten mottar og validerer serverens sertifikat.
-
-
Autentiseringstype– Velg blant følgende autentiseringstyper:
-
Ingen– Ingen ytterligere autentisering er nødvendig.
Tilgjengelig hvis du velger enten HTTP eller HTTPS som proxy-protokoll.
-
Grunnleggende– Brukes av en HTTP-brukeragent for å oppgi brukernavn og passord når en forespørsel sendes. Bruker Base64-koding.
Tilgjengelig hvis du velger enten HTTP eller HTTPS som proxy-protokoll.
Krever at du oppgir brukernavn og passord på hver node.
-
Sammendrag– Brukes til å bekrefte kontoen før sensitiv informasjon sendes. Bruker en hash-funksjon på brukernavnet og passordet før sending over nettverket.
Bare tilgjengelig hvis du velger HTTPS som proxy-protokoll.
Krever at du oppgir brukernavn og passord på hver node.
-
-
Eksempel på hybride datasikkerhetsnoder og proxy
Dette diagrammet viser et eksempel på en tilkobling mellom Hybrid Data Security, nettverket og en proxy. For proxy-alternativene for transparent inspeksjon og HTTPS-eksplisitt inspeksjon må det samme rotsertifikatet installeres på proxyen og på Hybrid Data Security-nodene.
Blokkert ekstern DNS-oppløsningsmodus (eksplisitte proxy-konfigurasjoner)
Når du registrerer en node eller sjekker nodens proxy-konfigurasjon, tester prosessen DNS-oppslag og tilkobling til Cisco Webex-skyen. I distribusjoner med eksplisitte proxy-konfigurasjoner som ikke tillater ekstern DNS-løsning for interne klienter, går noden automatisk inn i modus for blokkert ekstern DNS-løsning hvis den ikke kan spørre DNS-serverne. I denne modusen kan noderegistrering og andre proxy-tilkoblingstester fortsette.
Krav til hybrid datasikkerhet for flere leietakere
Krav til Cisco Webex-lisens
Slik distribuerer du hybrid datasikkerhet for flere leietakere:
-
Partnerorganisasjoner: Kontakt Cisco-partneren eller kontoansvarlig din, og sørg for at flerleietakerfunksjonen er aktivert.
-
Leietakerorganisasjoner: Du må ha Pro Pack for Cisco Webex Control Hub. (Se https://www.cisco.com/go/pro-pack.)
Krav til Docker-skrivebordet
Før du installerer HDS-nodene dine, trenger du Docker Desktop for å kjøre et installasjonsprogram. Docker har nylig oppdatert lisensmodellen sin. Organisasjonen din kan kreve et betalt abonnement for Docker Desktop. For mer informasjon, se Docker-blogginnlegget « Docker oppdaterer og utvider produktabonnementene våre».
Kunder uten Docker Desktop-lisens kan bruke et åpen kildekode-verktøy for containeradministrasjon som Podman Desktop til å kjøre, administrere og opprette containere. Se Kjør HDS-oppsettverktøyet med Podman Desktop for detaljer.
Krav til X.509-sertifikat
Sertifikatkjeden må oppfylle følgende krav:
|
Behov |
Detaljer |
|---|---|
|
Som standard stoler vi på CA-ene i Mozilla-listen (med unntak av WoSign og StartCom) på https://wiki.mozilla.org/CA:IncludedCAs. |
|
CN-en trenger ikke å være tilgjengelig eller en live vert. Vi anbefaler at du bruker et navn som gjenspeiler organisasjonen din, for eksempel KN-en må ikke inneholde en * (jokertegn). CN-en brukes til å bekrefte hybriddatasikkerhetsnodene til Webex-appklienter. Alle hybriddatasikkerhetsnodene i klyngen din bruker det samme sertifikatet. KMS-systemet ditt identifiserer seg ved hjelp av CN-domenet, ikke et hvilket som helst domene som er definert i x.509v3 SAN-feltene. Når du har registrert en node med dette sertifikatet, støtter vi ikke endring av CN-domenenavnet. |
|
KMS-programvaren støtter ikke SHA1-signaturer for validering av tilkoblinger til andre organisasjoners KMS-er. |
|
Du kan bruke en konverter som OpenSSL for å endre formatet på sertifikatet ditt. Du må oppgi passordet når du kjører HDS-oppsettverktøyet. |
KMS-programvaren håndhever ikke begrensninger for nøkkelbruk eller utvidede nøkkelbruk. Noen sertifikatmyndigheter krever at utvidede begrensninger for nøkkelbruk legges til grunn for hvert sertifikat, for eksempel serverautentisering. Det er greit å bruke serverautentisering eller andre innstillinger.
Krav til virtuelle verter
De virtuelle vertene du skal sette opp som hybride datasikkerhetsnoder i klyngen din, har følgende krav:
-
Minst to separate verter (3 anbefalt) samlokalisert i samme sikre datasenter
-
VMware ESXi 7.0 eller 8.0 installert og kjører.
Du må oppgradere hvis du har en tidligere versjon av ESXi.
-
Minimum 4 vCPU-er, 8 GB hovedminne, 30 GB lokal harddiskplass per server
Krav til databaseserver
Opprett en ny database for nøkkellagring. Ikke bruk standarddatabasen. HDS-applikasjonene oppretter databaseskjemaet når de er installert.
Det finnes to alternativer for databaseserveren. Kravene for hver av dem er som følger:
|
PostgreSQL |
Microsoft SQL Server |
|---|---|
|
|
|
Minimum 8 vCPU-er, 16 GB hovedminne, tilstrekkelig harddiskplass og overvåking for å sikre at den ikke overskrides (2 TB anbefales hvis du vil kjøre databasen over lengre tid uten å måtte øke lagringsplassen) |
Minimum 8 vCPU-er, 16 GB hovedminne, tilstrekkelig harddiskplass og overvåking for å sikre at den ikke overskrides (2 TB anbefales hvis du vil kjøre databasen over lengre tid uten å måtte øke lagringsplassen) |
HDS-programvaren installerer for øyeblikket følgende driverversjoner for kommunikasjon med databaseserveren:
|
PostgreSQL |
Microsoft SQL Server |
|---|---|
|
Postgres JDBC-driver 42.2.5 |
SQL Server JDBC-driver 4.6 Denne driverversjonen støtter SQL Server Always On ( Always On Failover Cluster Instances og Always On tilgjengelighetsgrupper). |
Ytterligere krav for Windows-autentisering mot Microsoft SQL Server
Hvis du vil at HDS-noder skal bruke Windows-autentisering for å få tilgang til nøkkeldatabasen din på Microsoft SQL Server, trenger du følgende konfigurasjon i miljøet ditt:
-
HDS-nodene, Active Directory-infrastrukturen og MS SQL Server må alle synkroniseres med NTP.
-
Windows-kontoen du oppgir til HDS-noder må ha read/write tilgang til databasen.
-
DNS-serverne du tilbyr HDS-noder må kunne løse nøkkeldistribusjonssenteret ditt (KDC).
-
Du kan registrere HDS-databaseforekomsten på Microsoft SQL Server som et Service Principal Name (SPN) i Active Directory. Se Registrer et tjenestehovednavn for Kerberos-tilkoblinger.
HDS-oppsettverktøyet, HDS-startprogrammet og det lokale KMS-systemet må alle bruke Windows-autentisering for å få tilgang til nøkkellagerdatabasen. De bruker detaljene fra ISO-konfigurasjonen din til å konstruere SPN-en når de ber om tilgang med Kerberos-autentisering.
Krav til eksterne tilkoblinger
Konfigurer brannmuren din til å tillate følgende tilkobling for HDS-applikasjonene:
|
Søknad |
Protokoll |
Havn |
Veibeskrivelse fra appen |
Destinasjon |
|---|---|---|---|---|
|
Hybride datasikkerhetsnoder |
TCP |
443 |
Utgående HTTPS og WSS |
|
|
HDS-oppsettverktøy |
TCP |
443 |
Utgående HTTPS |
|
Hybrid Data Security-nodene fungerer med nettverkstilgangsoversettelse (NAT) eller bak en brannmur, så lenge NAT-en eller brannmuren tillater de nødvendige utgående tilkoblingene til domenedestinasjonene i den foregående tabellen. For tilkoblinger som går inn til Hybrid Data Security-nodene, skal ingen porter være synlige fra Internett. Innenfor datasenteret ditt trenger klienter tilgang til Hybrid Data Security-nodene på TCP-portene 443 og 22 for administrative formål.
URL-ene for CI-vertene (Common Identity) er regionspesifikke. Dette er de nåværende CI-vertene:
|
Region |
Felles identitetsverts-URL-er |
|---|---|
|
Amerika |
|
|
Den europeiske union |
|
|
Canada |
|
| Singapore |
|
| De forente arabiske emirater |
|
Krav til proxy-server
-
Vi støtter offisielt følgende proxy-løsninger som kan integreres med dine hybride datasikkerhetsnoder.
-
Gjennomsiktig proxy – Cisco Web Security Appliance (WSA).
-
Eksplisitt proxy – blekksprut.
Squid-proxyer som inspiserer HTTPS-trafikk kan forstyrre etableringen av websocket (wss:) forbindelser. For å omgå dette problemet, se Konfigurer Squid-proxyer for hybrid datasikkerhet.
-
-
Vi støtter følgende autentiseringstypekombinasjoner for eksplisitte proxyer:
-
Ingen autentisering med HTTP eller HTTPS
-
Grunnleggende autentisering med HTTP eller HTTPS
-
Digest-autentisering kun med HTTPS
-
-
For en transparent inspiserende proxy eller en eksplisitt HTTPS-proxy må du ha en kopi av proxyens rotsertifikat. Distribusjonsinstruksjonene i denne veiledningen forteller deg hvordan du laster opp kopien til Hybrid Data Security-nodenes klareringslagre.
-
Nettverket som er vert for HDS-nodene må konfigureres til å tvinge utgående TCP-trafikk på port 443 til å rutes gjennom proxyen.
-
Proxyer som inspiserer webtrafikk kan forstyrre web socket-tilkoblinger. Hvis dette problemet oppstår, vil det å omgå (ikke inspisere) trafikk til
wbx2.comogciscospark.comløse problemet.
Fullfør forutsetningene for hybrid datasikkerhet
| 1 |
Sørg for at partnerorganisasjonen din har Multi-Tenant HDS-funksjonen aktivert, og hent legitimasjonen til en konto med partnerrettigheter og fulle administratorrettigheter. Sørg for at Webex-kundeorganisasjonen din er aktivert for Pro Pack for Cisco Webex Control Hub. Kontakt din Cisco-partner eller kontoansvarlige for å få hjelp med denne prosessen. Kundeorganisasjoner skal ikke ha noen eksisterende HDS-distribusjon. |
| 2 |
Velg et domenenavn for HDS-distribusjonen din (for eksempel |
| 3 |
Forbered identiske virtuelle verter som du vil konfigurere som hybride datasikkerhetsnoder i klyngen din. Du trenger minst to separate verter (3 anbefales) samlokalisert i samme sikre datasenter, som oppfyller kravene i Krav til virtuelle verter. |
| 4 |
Klargjør databaseserveren som skal fungere som nøkkeldatalager for klyngen, i henhold til Databaseserverkrav. Databaseserveren må være samlokalisert i det sikre datasenteret med de virtuelle vertene. |
| 5 |
For rask gjenoppretting etter katastrofer, sett opp et sikkerhetskopieringsmiljø i et annet datasenter. Sikkerhetskopieringsmiljøet speiler produksjonsmiljøet til virtuelle maskiner og en sikkerhetskopieringsdatabaseserver. Hvis for eksempel produksjonen har 3 virtuelle maskiner som kjører HDS-noder, bør sikkerhetskopieringsmiljøet ha 3 virtuelle maskiner. |
| 6 |
Konfigurer en syslog-vert for å samle inn logger fra nodene i klyngen. Hent nettverksadressen og syslog-porten (standard er UDP 514). |
| 7 |
Opprett en sikker sikkerhetskopieringspolicy for Hybrid Data Security-nodene, databaseserveren og syslog-verten. For å forhindre uopprettelig datatap må du som et minimum sikkerhetskopiere databasen og ISO-konfigurasjonsfilen som er generert for Hybrid Data Security-nodene. Fordi hybride datasikkerhetsnoder lagrer nøklene som brukes i kryptering og dekryptering av innhold, vil manglende opprettholdelse av en operativ distribusjon føre til UOPPRETTBART TAP av innholdet. Webex-appklienter bufrer nøklene sine, så et driftsavbrudd er kanskje ikke umiddelbart merkbart, men vil bli tydelig over tid. Selv om midlertidige avbrudd er umulige å forhindre, kan de gjenopprettes. Fullstendig tap (ingen sikkerhetskopier tilgjengelig) av enten databasen eller konfigurasjons-ISO-filen vil imidlertid føre til uopprettelige kundedata. Operatørene av Hybrid Data Security-nodene forventes å opprettholde hyppige sikkerhetskopier av databasen og ISO-konfigurasjonsfilen, og være forberedt på å gjenoppbygge Hybrid Data Security-datasenteret hvis det oppstår en katastrofal feil. |
| 8 |
Sørg for at brannmurkonfigurasjonen din tillater tilkobling for hybriddatasikkerhetsnodene dine som beskrevet i Krav til ekstern tilkobling. |
| 9 |
Installer Docker ( https://www.docker.com) på en hvilken som helst lokal maskin som kjører et støttet operativsystem (Microsoft Windows 10 Professional eller Enterprise 64-bit, eller Mac OSX Yosemite 10.10.3 eller nyere) med en nettleser som har tilgang til det på http://127.0.0.1:8080. Du bruker Docker-forekomsten til å laste ned og kjøre HDS Setup Tool, som bygger den lokale konfigurasjonsinformasjonen for alle Hybrid Data Security-nodene. Du trenger kanskje en Docker Desktop-lisens. Se Krav til Docker Desktop for mer informasjon. For å installere og kjøre HDS Setup Tool, må den lokale maskinen ha tilkoblingsmulighetene som er beskrevet i Krav til ekstern tilkobling. |
| 10 |
Hvis du integrerer en proxy med Hybrid Data Security, må du sørge for at den oppfyller Krav til proxyserver. |
Oppgaveflyt for distribusjon av hybrid datasikkerhet
| 1 |
Utfør første oppsett og last ned installasjonsfiler Last ned OVA-filen til din lokale maskin for senere bruk. |
| 2 |
Opprett en konfigurasjons-ISO for HDS-vertene Bruk HDS-oppsettverktøyet til å opprette en ISO-konfigurasjonsfil for Hybrid Data Security-nodene. |
| 3 |
Opprett en virtuell maskin fra OVA-filen og utfør den første konfigurasjonen, for eksempel nettverksinnstillinger. Alternativet for å konfigurere nettverksinnstillinger under OVA-distribusjon har blitt testet med ESXi 7.0 og 8.0. Alternativet er kanskje ikke tilgjengelig i tidligere versjoner. |
| 4 |
Konfigurer den hybride virtuelle datamaskinen for datasikkerhet Logg på VM-konsollen og angi påloggingslegitimasjonen. Konfigurer nettverksinnstillingene for noden hvis du ikke konfigurerte dem da OVA-distribusjonen ble utført. |
| 5 |
Last opp og monter HDS-konfigurasjons-ISO-en Konfigurer den virtuelle maskinen fra ISO-konfigurasjonsfilen du opprettet med HDS-oppsettverktøyet. |
| 6 |
Konfigurer HDS-noden for proxy-integrasjon Hvis nettverksmiljøet krever proxy-konfigurasjon, angi hvilken type proxy du vil bruke for noden, og legg til proxy-sertifikatet i klareringslageret om nødvendig. |
| 7 |
Registrer den første noden i klyngen Registrer den virtuelle maskinen med Cisco Webex-skyen som en hybrid datasikkerhetsnode. |
| 8 |
Opprett og registrer flere noder Fullfør klyngeoppsettet. |
| 9 |
Aktiver HDS for flere leietakere på partnerhub. Aktiver HDS og administrer leietakerorganisasjoner på Partner Hub. |
Utfør første oppsett og last ned installasjonsfiler
I denne oppgaven laster du ned en OVA-fil til maskinen din (ikke til serverne du har satt opp som hybride datasikkerhetsnoder). Du bruker denne filen senere i installasjonsprosessen.
| 1 |
Logg på Partner Hub, og klikk deretter på Tjenester. |
| 2 |
I Hybrid-delen finner du kortet for hybrid datasikkerhet, og deretter klikker du på Konfigurer. Det er avgjørende for distribusjonsprosessen å klikke på Konfigurer i Partner Hub. Ikke fortsett med installasjonen uten å fullføre dette trinnet. |
| 3 |
Klikk på Legg til en ressurs og klikk på Last ned .OVA-fil på kortet Installer og konfigurer programvare. Eldre versjoner av programvarepakken (OVA) vil ikke være kompatible med de nyeste oppgraderingene for hybrid datasikkerhet. Dette kan føre til problemer under oppgradering av applikasjonen. Sørg for at du laster ned den nyeste versjonen av OVA-filen. Du kan også laste ned OVA når som helst fra Hjelp -delen. Klikk på . Nedlastingen av OVA-filen begynner automatisk. Lagre filen på en plassering på maskinen din.
|
Opprett en konfigurasjons-ISO for HDS-vertene
Konfigurasjonsprosessen for hybrid datasikkerhet oppretter en ISO-fil. Deretter bruker du ISO-filen til å konfigurere Hybrid Data Security-verten din.
Før du begynner
-
HDS-oppsettverktøyet kjører som en Docker-container på en lokal maskin. For å få tilgang til den, kjør Docker på den maskinen. Konfigurasjonsprosessen krever påloggingsinformasjonen til en Partner Hub-konto med fulle administratorrettigheter.
Hvis du ikke har en Docker Desktop-lisens, kan du bruke Podman Desktop til å kjøre HDS-oppsettverktøyet for trinn 1 til 5 i prosedyren nedenfor. Se Kjør HDS-oppsettverktøyet med Podman Desktop for detaljer.
Hvis HDS-oppsettverktøyet kjører bak en proxy i miljøet ditt, må du oppgi proxy-innstillingene (server, port, legitimasjon) via Docker-miljøvariabler når du åpner Docker-containeren i trinn 5 nedenfor. Denne tabellen viser noen mulige miljøvariabler:
Beskrivelse
Variabel
HTTP-proxy uten autentisering
GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORTHTTPS-proxy uten autentisering
GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORTHTTP-proxy med autentisering
GLOBAL_AGENT_HTTP_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORTHTTPS-proxy med autentisering
GLOBAL_AGENT_HTTPS_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT -
Konfigurasjons-ISO-filen du genererer inneholder hovednøkkelen som krypterer PostgreSQL- eller Microsoft SQL Server-databasen. Du trenger den nyeste kopien av denne filen hver gang du gjør konfigurasjonsendringer, som disse:
-
Databaselegitimasjon
-
Sertifikatoppdateringer
-
Endringer i autorisasjonspolicyen
-
-
Hvis du planlegger å kryptere databasetilkoblinger, må du konfigurere PostgreSQL- eller SQL Server-distribusjonen din for TLS.
| 1 |
Skriv inn riktig kommando for miljøet ditt på maskinens kommandolinje: I vanlige miljøer: I FedRAMP-miljøer: Dette trinnet rydder opp i tidligere bilder av HDS-oppsettverktøyet. Hvis det ikke finnes noen tidligere bilder, returnerer den en feil som du kan ignorere. | ||||||||||
| 2 |
For å logge på Docker-avbildningsregisteret, skriv inn følgende: | ||||||||||
| 3 |
Ved passordledeteksten skriver du inn denne hashen: | ||||||||||
| 4 |
Last ned det nyeste stabile bildet for miljøet ditt: I vanlige miljøer: I FedRAMP-miljøer: | ||||||||||
| 5 |
Når hentingen er fullført, skriver du inn riktig kommando for miljøet ditt:
Når containeren kjører, ser du «Express-server lytter på port 8080». | ||||||||||
| 6 |
Installasjonsverktøyet støtter ikke tilkobling til localhost via http://localhost:8080. Bruk http://127.0.0.1:8080 for å koble til localhost. Bruk en nettleser til å gå til localhost, Verktøyet bruker denne første oppføringen av brukernavnet til å angi riktig miljø for den kontoen. Verktøyet viser deretter standard påloggingsledetekst. | ||||||||||
| 7 |
Når du blir bedt om det, skriver du inn påloggingsinformasjonen for Partner Hub-administratoren, og klikker deretter på Logg inn for å gi tilgang til de nødvendige tjenestene for Hybrid Data Security. | ||||||||||
| 8 |
På oversiktssiden for oppsettverktøyet klikker du på Kom i gang. | ||||||||||
| 9 |
På siden ISO-import har du disse alternativene:
| ||||||||||
| 10 |
Sjekk at X.509-sertifikatet ditt oppfyller kravene i Krav til X.509-sertifikat.
| ||||||||||
| 11 |
Skriv inn databaseadressen og kontoen som HDS bruker for å få tilgang til nøkkeldatalageret ditt: | ||||||||||
| 12 |
Velg en TLS-databasetilkoblingsmodus:
Når du laster opp rotsertifikatet (hvis nødvendig) og klikker på Fortsett, tester HDS-oppsettverktøyet TLS-tilkoblingen til databaseserveren. Verktøyet verifiserer også sertifikatsigneren og vertsnavnet, hvis aktuelt. Hvis en test mislykkes, viser verktøyet en feilmelding som beskriver problemet. Du kan velge om du vil ignorere feilen og fortsette med oppsettet. (På grunn av tilkoblingsforskjeller kan HDS-nodene kanskje opprette TLS-tilkoblingen selv om HDS Setup Tool-maskinen ikke kan teste den.) | ||||||||||
| 13 |
På siden Systemlogger konfigurerer du Syslogd-serveren din: | ||||||||||
| 14 |
(Valgfritt) Du kan endre standardverdien for noen databasetilkoblingsparametere i Avanserte innstillinger. Vanligvis er denne parameteren den eneste du kanskje vil endre: | ||||||||||
| 15 |
Klikk på Fortsett på skjermbildet Tilbakestill passord for tjenestekontoer. Passord for tjenestekontoer har en levetid på ni måneder. Bruk denne skjermen når passordene dine nærmer seg utløpsdatoen, eller du vil tilbakestille dem for å ugyldiggjøre tidligere ISO-filer. | ||||||||||
| 16 |
Klikk på Last ned ISO-fil. Lagre filen på et sted som er lett å finne. | ||||||||||
| 17 |
Lag en sikkerhetskopi av ISO-filen på ditt lokale system. Oppbevar sikkerhetskopien sikkert. Denne filen inneholder en hovedkrypteringsnøkkel for databaseinnholdet. Begrens tilgangen til kun de administratorene for hybrid datasikkerhet som skal gjøre konfigurasjonsendringer. | ||||||||||
| 18 |
For å avslutte installasjonsverktøyet, skriv |
Hva du skal gjøre nå
Sikkerhetskopier konfigurasjons-ISO-filen. Du trenger det for å opprette flere noder for gjenoppretting, eller for å gjøre konfigurasjonsendringer. Hvis du mister alle kopiene av ISO-filen, har du også mistet hovednøkkelen. Det er ikke mulig å gjenopprette nøklene fra PostgreSQL- eller Microsoft SQL Server-databasen.
Vi har aldri en kopi av denne nøkkelen, og kan ikke hjelpe deg hvis du mister den.
Installer HDS Host OVA
| 1 |
Bruk VMware vSphere-klienten på datamaskinen din for å logge på den virtuelle ESXi-verten. |
| 2 |
Velg Fil > Distribuer OVF-mal. |
| 3 |
I veiviseren angir du plasseringen til OVA-filen du lastet ned tidligere, og klikker deretter på Neste. |
| 4 |
På siden Velg et navn og en mappe skriver du inn et navn på en virtuell maskin for noden (for eksempel "HDS_Node_1"), velger en plassering der distribusjonen av den virtuelle maskinnoden kan befinne seg, og klikker deretter på Neste. |
| 5 |
På siden Velg en beregningsressurs velger du målberegningsressursen og klikker deretter på Neste. En valideringskontroll kjøres. Når det er ferdig, vises maldetaljene. |
| 6 |
Bekreft maldetaljene og klikk deretter på Neste. |
| 7 |
Hvis du blir bedt om å velge ressurskonfigurasjon på siden Konfigurasjon, klikker du på 4 CPU og deretter på Neste. |
| 8 |
På siden Velg lagring klikker du på Neste for å godta standard diskformat og lagringspolicy for virtuell maskin. |
| 9 |
På siden Velg nettverk velger du nettverksalternativet fra listen over oppføringer for å gi ønsket tilkobling til den virtuelle maskinen. |
| 10 |
På siden Tilpass mal konfigurerer du følgende nettverksinnstillinger:
Hvis du foretrekker det, kan du hoppe over konfigurasjonen av nettverksinnstillingene og følge trinnene i Konfigurer den virtuelle hybriddatasikkerhetsmaskinen for å konfigurere innstillingene fra nodekonsollen. Alternativet for å konfigurere nettverksinnstillinger under OVA-distribusjon har blitt testet med ESXi 7.0 og 8.0. Alternativet er kanskje ikke tilgjengelig i tidligere versjoner. |
| 11 |
Høyreklikk på nodens virtuelle maskin, og velg deretter . Hybrid Data Security-programvaren installeres som gjest på VM-verten. Du er nå klar til å logge på konsollen og konfigurere noden. Feilsøkingstips Du kan oppleve en forsinkelse på noen få minutter før nodecontainerne dukker opp. En melding om en brobrannmur vises på konsollen under første oppstart, og du kan ikke logge på i løpet av denne tiden. |
Konfigurer den hybride virtuelle datamaskinen for datasikkerhet
Bruk denne prosedyren for å logge på Hybrid Data Security-nodens virtuelle konsoll for første gang og angi påloggingslegitimasjonen. Du kan også bruke konsollen til å konfigurere nettverksinnstillingene for noden hvis du ikke konfigurerte dem da OVA-distribusjonen ble utført.
| 1 |
I VMware vSphere-klienten velger du den virtuelle maskinen for hybrid datasikkerhetsnoden og velger fanen Konsoll. VM-en starter opp, og en påloggingsledetekst vises. Hvis påloggingsledeteksten ikke vises, trykk Enter.
|
| 2 |
Bruk følgende standardbrukernavn og passord for å logge på og endre påloggingsinformasjonen: Siden du logger på den virtuelle maskinen for første gang, må du endre administratorpassordet. |
| 3 |
Hvis du allerede har konfigurert nettverksinnstillingene i Installer HDS Host OVA, hopper du over resten av denne prosedyren. Ellers velger du alternativet Rediger konfigurasjon i hovedmenyen. |
| 4 |
Sett opp en statisk konfigurasjon med IP-adresse, maske, gateway og DNS-informasjon. Noden din skal ha en intern IP-adresse og et DNS-navn. DHCP støttes ikke. |
| 5 |
(Valgfritt) Endre vertsnavn, domene eller NTP-server(e) om nødvendig for å samsvare med nettverkspolicyen din. Du trenger ikke å angi domenet slik at det samsvarer med domenet du brukte for å hente X.509-sertifikatet. |
| 6 |
Lagre nettverkskonfigurasjonen og start den virtuelle maskinen på nytt slik at endringene trer i kraft. |
Last opp og monter HDS-konfigurasjons-ISO-en
Før du begynner
Fordi ISO-filen inneholder hovednøkkelen, bør den bare eksponeres ved behov, for tilgang av de virtuelle hybriddatasikkerhetsmaskinene og eventuelle administratorer som måtte trenge å gjøre endringer. Sørg for at bare disse administratorene har tilgang til datalageret.
| 1 |
Last opp ISO-filen fra datamaskinen din: |
| 2 |
Monter ISO-filen: |
Hva du skal gjøre nå
Hvis IT-policyen din krever det, kan du eventuelt avmontere ISO-filen etter at alle nodene dine har plukket opp konfigurasjonsendringene. Se (Valgfritt) Avmonter ISO etter HDS-konfigurasjon for detaljer.
Konfigurer HDS-noden for proxy-integrasjon
Hvis nettverksmiljøet krever en proxy, bruk denne prosedyren for å angi typen proxy du vil integrere med Hybrid Data Security. Hvis du velger en transparent inspeksjonsproxy eller en eksplisitt HTTPS-proxy, kan du bruke nodens grensesnitt til å laste opp og installere rotsertifikatet. Du kan også sjekke proxy-tilkoblingen fra grensesnittet og feilsøke eventuelle problemer.
Før du begynner
-
Se Proxy-støtte for en oversikt over de støttede proxy-alternativene.
| 1 |
Skriv inn URL-adressen for oppsett av HDS-noden |
| 2 |
Gå til Trust Store & Proxy, og velg deretter et alternativ:
Følg de neste trinnene for en transparent inspeksjonsproxy, en eksplisitt HTTP-proxy med grunnleggende autentisering eller en eksplisitt HTTPS-proxy. |
| 3 |
Klikk på Last opp et rotsertifikat eller et sluttenhetssertifikat, og naviger deretter til og velg rotsertifikatet for proxyen. Sertifikatet er lastet opp, men ikke installert ennå, fordi du må starte noden på nytt for å installere sertifikatet. Klikk på vinkelpilen ved siden av sertifikatutstederens navn for å få mer informasjon, eller klikk på Slett hvis du har gjort en feil og vil laste opp filen på nytt. |
| 4 |
Klikk på Sjekk proxy-tilkobling for å teste nettverkstilkoblingen mellom noden og proxyen. Hvis tilkoblingstesten mislykkes, vil du se en feilmelding som viser årsaken og hvordan du kan løse problemet. Hvis du ser en melding som sier at ekstern DNS-løsning ikke var vellykket, klarte ikke noden å nå DNS-serveren. Denne betingelsen er forventet i mange eksplisitte proxy-konfigurasjoner. Du kan fortsette med oppsettet, og noden vil fungere i modus for blokkert ekstern DNS-løsning. Hvis du tror dette er en feil, fullfør disse trinnene, og se deretter Slå av blokkert ekstern DNS-oppløsningsmodus. |
| 5 |
Etter at tilkoblingstesten er bestått, for eksplisitt proxy satt til kun https, slå veksleknappen på Rut alle porter 443/444 https-forespørsler fra denne noden gjennom den eksplisitte proxyen. Denne innstillingen krever 15 sekunder for å tre i kraft. |
| 6 |
Klikk på Installer alle sertifikater i klareringslageret (vises for en eksplisitt HTTPS-proxy eller en transparent inspiserende proxy) eller Start på nytt (vises for en eksplisitt HTTP-proxy), les ledeteksten, og klikk deretter på Installer hvis du er klar. Noden starter på nytt innen få minutter. |
| 7 |
Etter at noden har startet på nytt, logg inn igjen om nødvendig, og åpne deretter siden Oversikt for å sjekke tilkoblingskontrollene og sørge for at de alle har grønn status. Proxy-tilkoblingskontrollen tester bare et underdomene av webex.com. Hvis det er tilkoblingsproblemer, er et vanlig problem at noen av skydomenene som er oppført i installasjonsinstruksjonene, blokkeres av proxy-tjeneren. |
Registrer den første noden i klyngen
Når du registrerer din første node, oppretter du en klynge som noden er tilordnet. En klynge inneholder én eller flere noder som er distribuert for å gi redundans.
Før du begynner
-
Når du har startet registreringen av en node, må du fullføre den innen 60 minutter, ellers må du starte på nytt.
-
Sørg for at eventuelle popup-blokkeringer i nettleseren din er deaktivert, eller at du tillater et unntak for admin.webex.com.
| 1 |
Logg inn på https://admin.webex.com. |
| 2 |
Fra menyen på venstre side av skjermen velger du Tjenester. |
| 3 |
I Hybrid-delen finner du Hybrid Data Security-kortet og klikker på Konfigurer. |
| 4 |
På siden som åpnes, klikk på Legg til en ressurs. |
| 5 |
I det første feltet på kortet Opprett en ny klynge skriver du inn et navn for klyngen du vil tilordne Hybrid Data Security-noden til. Vi anbefaler at du navngir en klynge basert på hvor nodene i klyngen befinner seg geografisk. Eksempler: «San Francisco» eller «New York» eller «Dallas» |
| 6 |
I det andre feltet skriver du inn den interne IP-adressen eller det fullstendig kvalifiserte domenenavnet (FQDN) til noden din og klikker på Legg til nederst på skjermen. Denne IP-adressen eller FQDN-en skal samsvare med IP-adressen eller vertsnavnet og domenet du brukte i Konfigurer den hybride virtuelle datamaskinen for datasikkerhet. Det vises en melding som angir at du kan registrere noden din i Webex.
|
| 7 |
Klikk på Gå til node. Etter noen få øyeblikk blir du omdirigert til nodetilkoblingstestene for Webex-tjenester. Hvis alle testene er vellykkede, vises siden Tillat tilgang til hybrid datasikkerhetsnode. Der bekrefter du at du vil gi Webex-organisasjonen din tillatelse til å få tilgang til noden din. |
| 8 |
Merk av i boksen Tillat tilgang til hybrid datasikkerhetsnode, og klikk deretter på Fortsett. Kontoen din er validert, og meldingen «Registrering fullført» indikerer at noden din nå er registrert i Webex-skyen.
|
| 9 |
Klikk på lenken eller lukk fanen for å gå tilbake til Partner Hub Hybrid Data Security-siden. På siden Hybrid datasikkerhet vises den nye klyngen som inneholder noden du registrerte, under fanen Ressurser. Noden vil automatisk laste ned den nyeste programvaren fra skyen.
|
Opprett og registrer flere noder
Før du begynner
-
Når du har startet registreringen av en node, må du fullføre den innen 60 minutter, ellers må du starte på nytt.
-
Sørg for at eventuelle popup-blokkeringer i nettleseren din er deaktivert, eller at du tillater et unntak for admin.webex.com.
| 1 |
Opprett en ny virtuell maskin fra OVA-en, og gjenta trinnene i Installer HDS Host OVA. |
| 2 |
Konfigurer den første konfigurasjonen på den nye virtuelle maskinen, og gjenta trinnene i Konfigurer den hybride virtuelle maskinen for datasikkerhet. |
| 3 |
Gjenta trinnene i Last opp og monter HDS-konfigurasjons-ISOpå den nye virtuelle maskinen. |
| 4 |
Hvis du konfigurerer en proxy for distribusjonen din, gjenta trinnene i Konfigurer HDS-noden for proxy-integrasjon etter behov for den nye noden. |
| 5 |
Registrer noden. |
Hva du skal gjøre nå
Aktiver flerleietaker-HDS på partnerhub
Denne oppgaven sikrer at alle brukere i kundeorganisasjonene kan begynne å utnytte HDS for lokale krypteringsnøkler og andre sikkerhetstjenester.
Før du begynner
Sørg for at du har fullført oppsettet av HDS-klyngen med flere leietakere med det nødvendige antallet noder.
| 1 |
Logg inn på https://admin.webex.com. |
| 2 |
Fra menyen på venstre side av skjermen velger du Tjenester. |
| 3 |
I Hybrid-delen finner du Hybrid datasikkerhet og klikker på Rediger innstillinger. |
| 4 |
Klikk på Aktiver HDS på kortet HDS-status. |
Legg til leietakerorganisasjoner i Partner Hub
I denne oppgaven tilordner du kundeorganisasjoner til din hybride datasikkerhetsklynge.
| 1 |
Logg inn på https://admin.webex.com. |
| 2 |
Fra menyen på venstre side av skjermen velger du Tjenester. |
| 3 |
I Hybrid-delen finner du Hybrid datasikkerhet og klikker på Vis alle. |
| 4 |
Gå til fanen Tildelte kunder. Fanen Tildelte kunder vises ikke før du oppretter en klynge. |
| 5 |
Klikk på Legg til kunder. |
| 6 |
Velg kunden du vil legge til fra rullegardinmenyen. |
| 7 |
Klikk på Legg til, kunden vil bli lagt til i klyngen. |
| 8 |
Gjenta trinn 5 til 7 for å legge til flere kunder i klyngen din. |
| 9 |
Klikk på Ferdig nederst på skjermen når du har lagt til kundene. Kunder som legges til, vil bli synkronisert på tvers av alle tilgjengelige klynger. |
Hva du skal gjøre nå
Opprett kundens hovednøkler (CMK-er) ved hjelp av HDS-oppsettverktøyet
Før du begynner
Tilordne kunder som beskrevet i Legge til leietakerorganisasjoner i partnerhub. Kjør HDS-oppsettverktøyet for å fullføre oppsettprosessen for de nylig tillagte kundeorganisasjonene.
-
HDS-oppsettverktøyet kjører som en Docker-container på en lokal maskin. For å få tilgang til den, kjør Docker på den maskinen. Konfigurasjonsprosessen krever legitimasjonen til en Partner Hub-konto med fulle administratorrettigheter for organisasjonen din.
Hvis HDS-oppsettverktøyet kjører bak en proxy i miljøet ditt, må du oppgi proxy-innstillingene (server, port, legitimasjon) via Docker-miljøvariabler når du åpner Docker-containeren i trinn 5. Denne tabellen viser noen mulige miljøvariabler:
Beskrivelse
Variabel
HTTP-proxy uten autentisering
GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORTHTTPS-proxy uten autentisering
GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORTHTTP-proxy med autentisering
GLOBAL_AGENT_HTTP_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORTHTTPS-proxy med autentisering
GLOBAL_AGENT_HTTPS_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT -
Konfigurasjons-ISO-filen du genererer inneholder hovednøkkelen som krypterer PostgreSQL- eller Microsoft SQL Server-databasen. Du trenger den nyeste kopien av denne filen hver gang du gjør konfigurasjonsendringer, som disse:
-
Databaselegitimasjon
-
Sertifikatoppdateringer
-
Endringer i autorisasjonspolicyen
-
-
Hvis du planlegger å kryptere databasetilkoblinger, må du konfigurere PostgreSQL- eller SQL Server-distribusjonen din for TLS.
Konfigurasjonsprosessen for hybrid datasikkerhet oppretter en ISO-fil. Deretter bruker du ISO-filen til å konfigurere Hybrid Data Security-verten din.
| 1 |
Skriv inn riktig kommando for miljøet ditt på maskinens kommandolinje: I vanlige miljøer: I FedRAMP-miljøer: Dette trinnet rydder opp i tidligere bilder av HDS-oppsettverktøyet. Hvis det ikke finnes noen tidligere bilder, returnerer den en feil som du kan ignorere. |
| 2 |
For å logge på Docker-avbildningsregisteret, skriv inn følgende: |
| 3 |
Ved passordledeteksten skriver du inn denne hashen: |
| 4 |
Last ned det nyeste stabile bildet for miljøet ditt: I vanlige miljøer: I FedRAMP-miljøer: |
| 5 |
Når hentingen er fullført, skriver du inn riktig kommando for miljøet ditt:
Når containeren kjører, ser du «Express-server lytter på port 8080». |
| 6 |
Installasjonsverktøyet støtter ikke tilkobling til localhost via http://localhost:8080. Bruk http://127.0.0.1:8080 for å koble til localhost. Bruk en nettleser til å gå til localhost, Verktøyet bruker denne første oppføringen av brukernavnet til å angi riktig miljø for den kontoen. Verktøyet viser deretter standard påloggingsledetekst. |
| 7 |
Når du blir bedt om det, skriver du inn påloggingsinformasjonen for Partner Hub-administratoren, og klikker deretter på Logg inn for å gi tilgang til de nødvendige tjenestene for Hybrid Data Security. |
| 8 |
På oversiktssiden for oppsettverktøyet klikker du på Kom i gang. |
| 9 |
På siden ISO-import klikker du på Ja. |
| 10 |
Velg ISO-filen din i nettleseren og last den opp. Sørg for tilkobling til databasen din for å utføre CMK-administrasjon. |
| 11 |
Gå til fanen Leietaker-CMK-administrasjon, der du finner følgende tre måter å administrere Leietaker-CMK-er på.
|
| 12 |
Når CMK-opprettelsen er vellykket, endres statusen i tabellen fra CMK-administrasjon venter til CMK-administrert. |
| 13 |
Hvis opprettelsen av CMK mislykkes, vises en feilmelding. |
Fjern leietakerorganisasjoner
Før du begynner
Når den er fjernet, vil ikke brukere av kundeorganisasjoner kunne bruke HDS til sine krypteringsbehov, og de vil miste alle eksisterende plasser. Før du fjerner kundeorganisasjoner, må du kontakte Cisco-partneren eller kontoansvarlig.
| 1 |
Logg inn på https://admin.webex.com. |
| 2 |
Fra menyen på venstre side av skjermen velger du Tjenester. |
| 3 |
I Hybrid-delen finner du Hybrid datasikkerhet og klikker på Vis alle. |
| 4 |
På siden som åpnes, klikk på fanen Tildelte kunder. |
| 5 |
Fra listen over kundeorganisasjoner som vises, klikk på |
Hva du skal gjøre nå
Fullfør fjerningsprosessen ved å tilbakekalle CMK-ene til kundeorganisasjonene som beskrevet i Tilbakekalle CMK-er for leietakere fjernet fra HDS.
Tilbakekall CMK-er for leietakere som er fjernet fra HDS.
Før du begynner
Fjern kunder som beskrevet i Fjern leietakerorganisasjoner. Kjør HDS-oppsettverktøyet for å fullføre fjerningsprosessen for kundeorganisasjonene som ble fjernet.
-
HDS-oppsettverktøyet kjører som en Docker-container på en lokal maskin. For å få tilgang til den, kjør Docker på den maskinen. Konfigurasjonsprosessen krever legitimasjonen til en Partner Hub-konto med fulle administratorrettigheter for organisasjonen din.
Hvis HDS-oppsettverktøyet kjører bak en proxy i miljøet ditt, må du oppgi proxy-innstillingene (server, port, legitimasjon) via Docker-miljøvariabler når du åpner Docker-containeren i trinn 5. Denne tabellen viser noen mulige miljøvariabler:
Beskrivelse
Variabel
HTTP-proxy uten autentisering
GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORTHTTPS-proxy uten autentisering
GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORTHTTP-proxy med autentisering
GLOBAL_AGENT_HTTP_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORTHTTPS-proxy med autentisering
GLOBAL_AGENT_HTTPS_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT -
Konfigurasjons-ISO-filen du genererer inneholder hovednøkkelen som krypterer PostgreSQL- eller Microsoft SQL Server-databasen. Du trenger den nyeste kopien av denne filen hver gang du gjør konfigurasjonsendringer, som disse:
-
Databaselegitimasjon
-
Sertifikatoppdateringer
-
Endringer i autorisasjonspolicyen
-
-
Hvis du planlegger å kryptere databasetilkoblinger, må du konfigurere PostgreSQL- eller SQL Server-distribusjonen din for TLS.
Konfigurasjonsprosessen for hybrid datasikkerhet oppretter en ISO-fil. Deretter bruker du ISO-filen til å konfigurere Hybrid Data Security-verten din.
| 1 |
Skriv inn riktig kommando for miljøet ditt på maskinens kommandolinje: I vanlige miljøer: I FedRAMP-miljøer: Dette trinnet rydder opp i tidligere bilder av HDS-oppsettverktøyet. Hvis det ikke finnes noen tidligere bilder, returnerer den en feil som du kan ignorere. |
| 2 |
For å logge på Docker-avbildningsregisteret, skriv inn følgende: |
| 3 |
Ved passordledeteksten skriver du inn denne hashen: |
| 4 |
Last ned det nyeste stabile bildet for miljøet ditt: I vanlige miljøer: I FedRAMP-miljøer: |
| 5 |
Når hentingen er fullført, skriver du inn riktig kommando for miljøet ditt:
Når containeren kjører, ser du «Express-server lytter på port 8080». |
| 6 |
Installasjonsverktøyet støtter ikke tilkobling til localhost via http://localhost:8080. Bruk http://127.0.0.1:8080 for å koble til localhost. Bruk en nettleser til å gå til localhost, Verktøyet bruker denne første oppføringen av brukernavnet til å angi riktig miljø for den kontoen. Verktøyet viser deretter standard påloggingsledetekst. |
| 7 |
Når du blir bedt om det, skriver du inn påloggingsinformasjonen for Partner Hub-administratoren, og klikker deretter på Logg inn for å gi tilgang til de nødvendige tjenestene for Hybrid Data Security. |
| 8 |
På oversiktssiden for oppsettverktøyet klikker du på Kom i gang. |
| 9 |
På siden ISO-import klikker du på Ja. |
| 10 |
Velg ISO-filen din i nettleseren og last den opp. |
| 11 |
Gå til fanen Leietaker-CMK-administrasjon, der du finner følgende tre måter å administrere Leietaker-CMK-er på.
|
| 12 |
Når CMK-tilbakekallingen er vellykket, vil ikke kundeorganisasjonen lenger vises i tabellen. |
| 13 |
Hvis CMK-tilbakekalling mislykkes, vises en feilmelding. |
Test din hybride datasikkerhetsimplementering
Før du begynner
-
Konfigurer din hybride datasikkerhetsdistribusjon for flere leietakere.
-
Sørg for at du har tilgang til sysloggen for å bekrefte at nøkkelforespørsler sendes til Multi-Tenant Hybrid Data Security-distribusjonen din.
| 1 |
Nøkler for et gitt område angis av den som har opprettet området. Logg på Webex-appen som en av brukerne i kundeorganisasjonen, og opprett deretter et område. Hvis du deaktiverer distribusjonen av Hybrid Data Security, vil innhold i områder som brukere oppretter ikke lenger være tilgjengelig når de klientbufrede kopiene av krypteringsnøklene er erstattet. |
| 2 |
Send meldinger til det nye rommet. |
| 3 |
Sjekk syslog-utdataene for å bekrefte at nøkkelforespørslene sendes til Hybrid Data Security-distribusjonen din. Hvis en bruker av en nylig tillagt kundeorganisasjon utfører en handling, vil organisasjonens organisasjons-ID vises i loggene, og dette kan brukes til å bekrefte at organisasjonen bruker Multi-Tenant HDS. Sjekk verdien av |
Tolkning av HDS-logger og forståelse av agentetiketter
HDS-logger gir detaljert informasjon om KMS-forespørsler. Disse loggene inneholder ulike felt som bidrar til å identifisere forespørselens art og den tilhørende identiteten. Å forstå disse feltene er avgjørende for å tolke aktiviteter riktig og pålitelige interne operasjoner.
Terminologi
For å sikre klarhet når du gjennomgår HDS-logger, er det viktig å forstå følgende begreper:
| Periode | Definisjon |
|---|---|
| Tjenestekonto | En tjenesteidentitet som lar Webex-tjenester utføre autoriserte handlinger på en sikker måte. |
| Agent | En tjenesteenhet eller tjenestekontoidentitet som brukes til å utføre automatiserte operasjoner i HDS-miljøet. |
| Agentetikett | En tagg inkludert i HDS-logger som identifiserer den spesifikke kilden og typen til en innkommende forespørsel, noe som muliggjør effektiv revisjon av tilgangskontroll. |
| Delegert tilgang | En autorisert tjenestekonto som sender en forespørsel for en bestemt bruker, innenfor den brukerens tillatelser. Vises som en delegeringsforespørsel: agent -> userid. |
Begrepet «Agent» i denne sammenhengen refererer spesifikt til HDS-tjenesteidentiteter. Disse er ikke relatert til de AI-drevne agentene som brukes i andre Webex-funksjoner.
En forespørsel behandles bare når den kommer fra:
- en autentisert bruker i organisasjonen din, eller
- en tjenestekonto som befinner seg i, og er autorisert av, organisasjonen din.
Oversikt over loggfelt
| Felt | Hva det representerer |
|---|---|
| Tidsstempel | Dato og klokkeslett for operasjonen. |
| kms.data.metode | KMS-operasjonen som ble utført (f.eks. henting). |
| kms.data.orgld | Organisasjonsidentifikator. |
| kms.data.httpBrukeragent | Klienten eller tjenesten som fremsetter forespørselen. |
| WEBEX_SPORINGS-ID | Unik sporingsidentifikator for forespørselen. |
| kms.data.uriHost / kms.data.uri | Verten og ressursen som forespørselen er rettet mot. |
| kms.data.userld | Identiteten som utfører forespørselen, inkludert en agentetikett. |
| kms.response.suksess | Angir om forespørselen lyktes. |
Forespørselstyper – hurtigreferanse
| Tagg i logg | Agentetikett | Hva det representerer | Typiske operasjoner |
|---|---|---|---|
| Brukertype: brukerAgent | Brukeragent | En klarert tjenestekonto knyttet til en brukerarbeidsflyt, begrenset til organisasjonen din. | Creating/managing nøkler for en brukerprosess. |
| o-agent <id> -> bruker-ID <id> | Organisasjonsagent | En klarert tjenestekonto på organisasjonsnivå som bruker delegert tilgang. | Samsvarsansvarligs uttrekk av Webex-data, kalenderintegrasjoner. |
| c-agent <id> -> bruker-ID <id> | Skyagent | En Webex-tjeneste som utfører en delegert forespørsel for en bestemt bruker. | Virusskanning, forhåndsvisning av innhold, transkripsjoner. |
| c-agent <id> | Skyagent | En Webex-tjeneste som utfører en delegert forespørsel. | ECDHE / øktnøkler. |
| Sluttbrukerens UUID | - | Den autentiserte sluttbrukeren som samhandler med HDS. | En bruker henter sin egen nøkkel. |
Forespørselstyper – i detalj
Agentetiketter kategoriserer kilden til forespørselen og hjelper med å bestemme riktige tilgangskontroller. Følgende eksempler viser flere forespørselstyper og agentetikettene som er knyttet til dem.
-
Brukeragent (brukeragent):
Dette er klarerte Webex-tjenestekontoer som er knyttet til spesifikke brukerarbeidsflyter og er begrenset til kundeorganisasjonen. De brukes vanligvis når en tjeneste oppretter og administrerer nøkler på vegne av en brukerarbeidsflyt.
Eksempellogg:
2026-06-18 10:58:14.405 (+0000) INFO KMS [pool-21-thread-110] - User: b[~]4 User Type: userAgent WEBEX_TRACKINGID=MsftPresence_6[~]9, kms.data.method=create, kms.merc.id=5[~]8, kms.merc.sync=false, kms.data.uriHost=null, kms.data.type=RESOURCE_COLLECTION, kms.data.requestId=b[~]4, kms.data.orgId=null, kms.data.uri=/resources, kms.data.userId=3[~]6, kms.data.httpUserAgent=Nøkkelindikator: Eksempelloggen viser en brukeragent (
userAgent) som utfører ressursinnsamlingsoperasjoner for en Webex-tjeneste. -
Organisasjonsagent (o-agent):
Disse pålitelige Webex-tjenestekontoene er autorisert til å utføre delegerte operasjoner på vegne av brukere i HDS. Disse kontoene er knyttet til kundeorganisasjonen og utfører operasjoner på organisasjonsnivå. Denne funksjonaliteten støtter flere funksjoner, for eksempel å la samsvarsansvarlige søke og trekke ut Webex-kommunikasjonsdata – noe som sikrer organisatorisk samsvar med forskriftsmessige, sikkerhets- og personvernstandarder.
Eksempellogg:
2026-06-18 11:24:53.034 (+0000) INFO KMS [pool-19-thread-118] - WEBEX_TRACKINGID=ccc_8[~]c, kms.data.method=retrieve, kms.merc.id=2[~]a, kms.merc.sync=false, kms.data.uriHost=hds2.org5.portun.us, kms.data.type=KEY, kms.data.requestId=1[~]2, kms.data.orgId=null, kms.data.uri=kms://hds2.org5.portun.us/keys/d[~]7, kms.data.userId=o-agent 9[~]c -> userid 4[~]b, kms.data.httpUserAgent=Nøkkelindikator: Eksempelloggen viser en organisasjonsagent (
o-agent 9[~]c) som henter en nøkkel på vegne av brukeren (4[~]b) for en Webex-tjeneste. - Skyagent (c-agent):
Disse pålitelige Webex-tjenestekontoene er autorisert til å utføre operasjoner på HDS via delegert tilgang på vegne av en bruker. De støtter viktige funksjoner – som opptak etter møter, transkripsjoner, skanning mot skadelig programvare og forhåndsvisning av filer – som forbedrer den generelle brukeropplevelsen.
Selv om Cloud Agents kan deaktiveres ved å endre ISO-en, bør kunder være oppmerksomme på at dette vil føre til tap av funksjoner, for eksempel opptak etter møter, transkripsjoner, forhåndsvisninger av filer og automatisert skanning etter skadelig programvare i Webex App Spaces. Hvis du vil ha mer informasjon, kan du se delen Deaktiver skyagenter.
Eksempellogg:
2026-06-18 11:27:59.388 (+0000) INFO KMS [pool-19-thread-56] - WEBEX_TRACKINGID=CLIENT_2[~]e, kms.data.method=retrieve, kms.merc.id=b[~]c, kms.merc.sync=false, kms.data.uriHost=hds2.org5.portun.us, kms.data.type=KEY, kms.data.requestId=0[~]6, kms.data.orgId=null, kms.data.uri=kms://hds2.org5.portun.us/keys/e[~]e, kms.data.userId=c-agent b[~]c -> userid 9[~]c, kms.data.httpUserAgent=Nøkkelindikator: Eksempelloggen viser en skyagent (
c-agent b[~]c) som henter en innholdsnøkkel på vegne av brukeren (9[~]c). -
Direkte interaksjon med sluttbrukere:
En autentisert bruker som samhandler direkte med HDS.
Eksempellogg:
2026-06-18 11:29:39.858 (+0000) INFO KMS [pool-19-thread-141] - kms.data.method=retrieve, kms.merc.id=a[~]d, kms.merc.sync=false, kms.data.orgId=null, kms.data.httpUserAgent=, WEBEX_TRACKINGID=CLIENT_7[~]e, kms.data.uriHost=hds2.org5.portun.us, kms.data.type=KEY, kms.data.requestId=1[~]a, kms.response.destination=https://wdm-a.wbx2.com/wdm/api/v1/devices/1[~]e, kms.response.resourceuri=null, kms.data.uri=kms://hds2.org5.portun.us/keys/b[~]b, kms.data.userId=c[~]f, kms.response.success=true Nøkkelindikator: Eksempelloggen viser en sluttbruker (
c[~]f) som henter en nøkkel og samhandler direkte med HDS.
Overvåk hybrid datasikkerhetshelse
| 1 |
I Partnerhubvelger du Tjenester fra menyen på venstre side av skjermen. |
| 2 |
I Hybrid-delen finner du Hybrid datasikkerhet og klikker på Rediger innstillinger. Siden Innstillinger for hybrid datasikkerhet vises.
|
| 3 |
I delen E-postvarsler skriver du inn én eller flere e-postadresser atskilt med komma, og trykker på Enter. |
Administrer HDS-distribusjon
Bruk oppgavene som er beskrevet her til å administrere hybrid datasikkerhetsdistribusjonen din.
Angi en tidsplan for klyngeoppgradering
Slik angir du oppgraderingsplanen:
| 1 |
Logg inn på Partner Hub. |
| 2 |
Fra menyen på venstre side av skjermen velger du Tjenester. |
| 3 |
I Hybrid-delen finner du Hybrid datasikkerhet og klikker på Konfigurer |
| 4 |
På siden Hybride datasikkerhetsressurser velger du klyngen. |
| 5 |
Klikk på fanen Klyngeinnstillinger. |
| 6 |
På siden Klyngeinnstillinger, under Oppgraderingsplan, velger du klokkeslett og tidssone for oppgraderingsplanen. Merknad: Under tidssonen vises neste tilgjengelige oppgraderingsdato og -klokkeslett. Du kan utsette oppgraderingen til neste dag om nødvendig ved å klikke på Utsett med 24 timer. |
Endre nodekonfigurasjonen
-
Endring av x.509-sertifikater på grunn av utløp eller andre årsaker.
Vi støtter ikke endring av CN-domenenavnet til et sertifikat. Domenet må samsvare med det opprinnelige domenet som ble brukt til å registrere klyngen.
-
Oppdaterer databaseinnstillinger for å endre til en kopi av PostgreSQL- eller Microsoft SQL Server-databasen.
Vi støtter ikke migrering av data fra PostgreSQL til Microsoft SQL Server, eller motsatt vei. For å bytte databasemiljø, start en ny distribusjon av Hybrid Data Security.
-
Oppretter en ny konfigurasjon for å klargjøre et nytt datasenter.
Av sikkerhetshensyn bruker Hybrid Data Security også passord for tjenestekontoer som har en levetid på ni måneder. Etter at HDS-oppsettverktøyet genererer disse passordene, distribuerer du dem til hver av HDS-nodene dine i ISO-konfigurasjonsfilen. Når organisasjonens passord nærmer seg utløpsdatoen, mottar du et varsel fra Webex-teamet om å tilbakestille passordet for maskinkontoen din. (E-posten inneholder teksten «Bruk maskinkonto-API-et til å oppdatere passordet.») Hvis passordene dine ikke er utløpt ennå, gir verktøyet deg to alternativer:
-
Myk tilbakestilling– Både det gamle og det nye passordet fungerer i opptil 10 dager. Bruk denne perioden til å gradvis erstatte ISO-filen på nodene.
-
Hard tilbakestilling– De gamle passordene slutter å virke umiddelbart.
Hvis passordene dine utløper uten tilbakestilling, påvirker det HDS-tjenesten din, og krever en umiddelbar hard tilbakestilling og erstatning av ISO-filen på alle noder.
Bruk denne prosedyren til å generere en ny ISO-konfigurasjonsfil og bruke den på klyngen din.
Før du begynner
-
HDS-oppsettverktøyet kjører som en Docker-container på en lokal maskin. For å få tilgang til den, kjør Docker på den maskinen. Oppsettprosessen krever påloggingsinformasjonen til en Partner Hub-konto med fulle administratorrettigheter for partneren.
Hvis du ikke har en Docker Desktop-lisens, kan du bruke Podman Desktop til å kjøre HDS-oppsettverktøyet for trinn 1.a til 1.e i prosedyren nedenfor. Se Kjør HDS-oppsettverktøyet med Podman Desktop for detaljer.
Hvis HDS-oppsettverktøyet kjører bak en proxy i miljøet ditt, må du oppgi proxy-innstillingene (server, port, legitimasjon) via Docker-miljøvariabler når du åpner Docker-containeren i 1.e. Denne tabellen viser noen mulige miljøvariabler:
Beskrivelse
Variabel
HTTP-proxy uten autentisering
GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORTHTTPS-proxy uten autentisering
GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORTHTTP-proxy med autentisering
GLOBAL_AGENT_HTTP_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORTHTTPS-proxy med autentisering
GLOBAL_AGENT_HTTPS_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT -
Du trenger en kopi av den gjeldende ISO-filen for konfigurasjonen for å generere en ny konfigurasjon. ISO-filen inneholder hovednøkkelen som krypterer PostgreSQL- eller Microsoft SQL Server-databasen. Du trenger ISO-filen når du gjør konfigurasjonsendringer, inkludert databaselegitimasjon, sertifikatoppdateringer eller endringer i autorisasjonspolicyen.
| 1 |
Kjør HDS-oppsettverktøyet ved hjelp av Docker på en lokal maskin. |
| 2 |
Hvis du bare har én HDS-node som kjører, oppretter du en ny virtuell maskin for hybrid datasikkerhetsnoden og registrerer den ved hjelp av den nye ISO-konfigurasjonsfilen. For mer detaljerte instruksjoner, se Opprett og registrer flere noder. |
| 3 |
For eksisterende HDS-noder som kjører den eldre konfigurasjonsfilen, monter ISO-filen. Utfør følgende prosedyre på hver node etter tur, og oppdater hver node før du slår av neste node: |
| 4 |
Gjenta trinn 3 for å erstatte konfigurasjonen på hver gjenværende node som kjører den gamle konfigurasjonen. |
Slå av blokkert ekstern DNS-oppløsningsmodus
Når du registrerer en node eller sjekker nodens proxy-konfigurasjon, tester prosessen DNS-oppslag og tilkobling til Cisco Webex-skyen. Hvis nodens DNS-server ikke kan løse offentlige DNS-navn, går noden automatisk inn i modus for blokkert ekstern DNS-løsning.
Hvis nodene dine kan løse offentlige DNS-navn gjennom interne DNS-servere, kan du slå av denne modusen ved å kjøre proxy-tilkoblingstesten på nytt på hver node.
Før du begynner
| 1 |
I en nettleser åpner du Hybrid Data Security-nodegrensesnittet (IP address/setup, For eksempel, https://192.0.2.0/setup), skriv inn administratorlegitimasjonen du har satt opp for noden, og klikk deretter på Logg på. |
| 2 |
Gå til Oversikt (standardsiden). Når den er aktivert, er Blokkert ekstern DNS-oppløsning satt til Ja. |
| 3 |
Gå til Trust Store & Proxy -side. |
| 4 |
Klikk på Sjekk proxy-tilkobling. Hvis du ser en melding som sier at ekstern DNS-løsning ikke var vellykket, klarte ikke noden å nå DNS-serveren og vil forbli i denne modusen. Ellers, etter at du har startet noden på nytt og går tilbake til siden Oversikt, bør Blokkert ekstern DNS-oppløsning settes til nei. |
Hva du skal gjøre nå
Fjern en node
| 1 |
Bruk VMware vSphere-klienten på datamaskinen din til å logge på den virtuelle ESXi-verten og slå av den virtuelle maskinen. |
| 2 |
Fjern noden: |
| 3 |
Slett den virtuelle maskinen i vSphere-klienten. (I venstre navigasjonsrute høyreklikker du på den virtuelle maskinen og klikker på Slett.) Hvis du ikke sletter den virtuelle maskinen, husk å avmontere konfigurasjons-ISO-filen. Uten ISO-filen kan du ikke bruke den virtuelle maskinen til å få tilgang til sikkerhetsdataene dine. |
Katastrofegjenoppretting ved bruk av standby-datasenter
Den viktigste tjenesten som hybrid datasikkerhetsklyngen din tilbyr, er oppretting og lagring av nøkler som brukes til å kryptere meldinger og annet innhold som er lagret i Webex-skyen. For hver bruker i organisasjonen som er tilordnet Hybrid Data Security, rutes nye forespørsler om nøkkeloppretting til klyngen. Klyngen er også ansvarlig for å returnere nøklene den har opprettet til alle brukere som er autorisert til å hente dem, for eksempel medlemmer av et samtaleområde.
Fordi klyngen utfører den kritiske funksjonen med å levere disse nøklene, er det avgjørende at klyngen forblir i gang og at det vedlikeholdes riktige sikkerhetskopier. Tap av Hybrid Data Security-databasen eller av konfigurasjons-ISO-en som brukes for skjemaet vil føre til UKJENOPPRETTBART TAP av kundeinnhold. Følgende fremgangsmåter er obligatoriske for å forhindre et slikt tap:
Hvis en katastrofe fører til at HDS-distribusjonen i det primære datasenteret blir utilgjengelig, følger du denne prosedyren for å manuelt bytte til reservedatasenteret.
Før du begynner
| 1 |
Start HDS-oppsettverktøyet og følg trinnene som er nevnt i Opprett en konfigurasjons-ISO for HDS-vertene. |
| 2 |
Etter at du har konfigurert Syslogd-serveren, klikker du på Avanserte innstillinger |
| 3 |
På siden Avanserte innstillinger legger du til konfigurasjonen nedenfor eller fjerner
|
| 4 |
Fullfør konfigurasjonsprosessen og lagre ISO-filen på et sted som er lett å finne. |
| 5 |
Lag en sikkerhetskopi av ISO-filen på ditt lokale system. Oppbevar sikkerhetskopien sikkert. Denne filen inneholder en hovedkrypteringsnøkkel for databaseinnholdet. Begrens tilgangen til kun de administratorene for hybrid datasikkerhet som skal gjøre konfigurasjonsendringer. |
| 6 |
I VMware vSphere-klientens venstre navigasjonsrute høyreklikker du på den virtuelle maskinen og klikker på Rediger innstillinger.. |
| 7 |
Klikk på Rediger innstillinger >CD/DVD Stasjon 1 og velg Datastore ISO-fil. Sørg for at Tilkoblet og Koble til ved oppstart er avmerket, slik at oppdaterte konfigurasjonsendringer kan tre i kraft etter at nodene har startet. |
| 8 |
Slå på HDS-noden og sørg for at det ikke er noen alarmer på minst 15 minutter. |
| 9 |
Gjenta prosessen for hver node i standby-datasenteret. Sjekk syslog-utdataene for å bekrefte at nodene i standby-datasenteret ikke er i passiv modus. «KMS konfigurert i passiv modus» skal ikke vises i systemloggene. |
Hva du skal gjøre nå
(Valgfritt) Avmonter ISO etter HDS-konfigurasjon
Standard HDS-konfigurasjonen kjører med ISO montert. Men noen kunder foretrekker å ikke la ISO-filer være kontinuerlig montert. Du kan avmontere ISO-filen etter at alle HDS-nodene har hentet den nye konfigurasjonen.
Du bruker fortsatt ISO-filene til å gjøre konfigurasjonsendringer. Når du oppretter en ny ISO eller oppdaterer en ISO via installasjonsverktøyet, må du montere den oppdaterte ISO-en på alle HDS-nodene dine. Når alle nodene dine har plukket opp konfigurasjonsendringene, kan du avmontere ISO-en igjen med denne prosedyren.
Før du begynner
Oppgrader alle HDS-nodene dine til versjon 2025.06.02.6983 eller nyere.
| 1 |
Slå av en av HDS-nodene dine. |
| 2 |
I vCenter Server Appliance velger du HDS-noden. |
| 3 |
Velg og fjern merket for Datastore ISO-fil. |
| 4 |
Slå på HDS-noden og sørg for at det ikke er noen alarmer på minst 20 minutter. |
| 5 |
Gjenta for hver HDS-node etter tur. |
Vis varsler og feilsøk
En hybrid datasikkerhetsdistribusjon anses som utilgjengelig hvis alle noder i klyngen ikke kan nås, eller klyngen fungerer så sakte at forespørsler blir tidsavbrutt. Hvis brukere ikke kan nå Hybrid Data Security-klyngen din, opplever de følgende symptomer:
-
Nye mellomrom kan ikke opprettes (kan ikke opprette nye nøkler)
-
Meldinger og romtitler klarer ikke å dekryptere for:
-
Nye brukere lagt til i et rom (kan ikke hente nøkler)
-
Eksisterende brukere i et område som bruker en ny klient (kan ikke hente nøkler)
-
-
Eksisterende brukere i et område vil fortsette å kjøre uten problemer så lenge klientene deres har en hurtigbuffer med krypteringsnøklene
Det er viktig at du overvåker Hybrid Data Security-klyngen din ordentlig og adresserer eventuelle varsler raskt for å unngå avbrudd i tjenesten.
Varsler
Hvis det er et problem med oppsettet av hybrid datasikkerhet, viser Partner Hub varsler til organisasjonsadministratoren og sender e-poster til den konfigurerte e-postadressen. Varslene dekker mange vanlige scenarier.
|
Varsle |
Handling |
|---|---|
|
Tilgangsfeil for lokal database. |
Sjekk for databasefeil eller problemer med det lokale nettverket. |
|
Feil på tilkobling til lokal database. |
Kontroller at databaseserveren er tilgjengelig, og at riktig tjenestekontolegitimasjon ble brukt i nodekonfigurasjonen. |
|
Feil med tilgang til skytjenesten. |
Kontroller at nodene har tilgang til Webex-serverne som angitt i Krav til ekstern tilkobling. |
|
Fornyer registrering av skytjeneste. |
Registrering til skytjenester ble droppet. Fornyelse av registreringen pågår. |
|
Registrering av skytjeneste er fjernet. |
Registrering for skytjenester er avsluttet. Tjenesten stenges ned. |
|
Tjenesten er ikke aktivert ennå. |
Aktiver HDS i Partner Hub. |
|
Det konfigurerte domenet samsvarer ikke med serversertifikatet. |
Sørg for at serversertifikatet ditt samsvarer med det konfigurerte domenet for tjenesteaktivering. Den mest sannsynlige årsaken er at sertifikatets CN nylig ble endret og nå er forskjellig fra CN-en som ble brukt under den første oppsettet. |
|
Kunne ikke autentisere mot skytjenester. |
Sjekk nøyaktighet og mulig utløpsdato for tjenestekontolegitimasjon. |
|
Kunne ikke åpne den lokale nøkkellagerfilen. |
Sjekk integriteten og passordnøyaktigheten på den lokale nøkkellagerfilen. |
|
Det lokale serversertifikatet er ugyldig. |
Sjekk utløpsdatoen for serversertifikatet og bekreft at det ble utstedt av en pålitelig sertifiseringsinstans. |
|
Kan ikke legge ut målinger. |
Sjekk lokal nettverkstilgang til eksterne skytjenester. |
|
/media/configdrive/hds katalogen finnes ikke. |
Sjekk ISO-monteringskonfigurasjonen på den virtuelle verten. Bekreft at ISO-filen finnes, at den er konfigurert til å monteres ved omstart, og at den monteres uten problemer. |
|
Oppsettet av leietakerorganisasjonen er ikke fullført for de tillagte organisasjonene. |
Fullfør oppsettet ved å opprette CMK-er for nylig tillagte leietakerorganisasjoner ved hjelp av HDS Setup Tool. |
|
Oppsettet av leietakerorganisasjonen er ikke fullført for de fjernede organisasjonene. |
Fullfør oppsettet ved å tilbakekalle CMK-er for leietakerorganisasjoner som ble fjernet ved hjelp av HDS Setup Tool. |
Feilsøking av hybrid datasikkerhet
| 1 |
Logg inn på Partner Hub. |
| 2 |
Fra menyen på venstre side av skjermen velger du Tjenester. |
| 3 |
I Hybrid-delen finner du Hybrid datasikkerhet og klikker på Hendelser. |
| 4 |
Se gjennom hendelseshistorikksiden for varsler og fiks eventuelle elementer du finner der. Se bildet nedenfor som referanse. |
| 5 |
Se gjennom syslog-serverutdataene for aktivitet fra Hybrid Data Security-distribusjonen. Filtrer etter ord som «Advarsel» og «Feil» for å hjelpe til med feilsøking. |
| 6 |
Kontakt Cisco-kundestøtte. |
HDS-utvikler-API-er
HDS Developer API-ene er en måte å hente analyse- og overvåkingsdata på, samt feilsøke HDS-distribusjonene dine via Webex Developer Portal. API-ene er tilgjengelige på https://developer.webex.com/messaging/docs/api/v1/hds.
Kjente problemer for hybrid datasikkerhet
-
Hvis du slår av alle dine aktive Hybrid Data Security-klynger (ved å slette dem i Partner Hub eller ved å slå av alle noder), mister konfigurasjons-ISO-filen eller mister tilgang til nøkkellagerdatabasen, kan ikke Webex-appbrukere av kundeorganisasjoner lenger bruke mellomrom under personlisten sin som ble opprettet med nøkler fra KMS-systemet ditt. Vi har for øyeblikket ingen løsning eller løsning på dette problemet, og vi oppfordrer deg til ikke å stenge ned HDS-tjenestene dine når de håndterer aktive brukerkontoer.
-
En klient som har en eksisterende ECDH-tilkobling til et KMS, opprettholder denne tilkoblingen i en periode (sannsynligvis én time).
Kjør HDS Setup-verktøyet med Podman Desktop
Podman er et gratis og åpen kildekode-verktøy for containeradministrasjon som gir en måte å kjøre, administrere og opprette containere på. Podman Desktop kan lastes ned fra https://podman-desktop.io/downloads.
-
HDS-oppsettverktøyet kjører som en Docker-container på en lokal maskin. For å få tilgang til den, last ned og kjør Podman på den maskinen. Konfigurasjonsprosessen krever legitimasjonen til en Control Hub-konto med fulle administratorrettigheter for organisasjonen din.
Hvis HDS-oppsettverktøyet kjører bak en proxy i miljøet ditt, må du oppgi proxy-innstillingene (server, port, legitimasjon) via Docker-miljøvariabler når du åpner Docker-containeren i trinn 5. Denne tabellen viser noen mulige miljøvariabler:
Beskrivelse
Variabel
HTTP-proxy uten autentisering
GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORTHTTPS-proxy uten autentisering
GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORTHTTP-proxy med autentisering
GLOBAL_AGENT_HTTP_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORTHTTPS-proxy med autentisering
GLOBAL_AGENT_HTTPS_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT -
Konfigurasjons-ISO-filen du genererer inneholder hovednøkkelen som krypterer PostgreSQL- eller Microsoft SQL Server-databasen. Du trenger den nyeste kopien av denne filen hver gang du gjør konfigurasjonsendringer, som disse:
-
Databaselegitimasjon
-
Sertifikatoppdateringer
-
Endringer i autorisasjonspolicyen
-
-
Hvis du planlegger å kryptere databasetilkoblinger, må du konfigurere PostgreSQL- eller SQL Server-distribusjonen din for TLS.
Konfigurasjonsprosessen for hybrid datasikkerhet oppretter en ISO-fil. Deretter bruker du ISO-filen til å konfigurere Hybrid Data Security-verten din.
| 1 |
Skriv inn riktig kommando for miljøet ditt på maskinens kommandolinje: I vanlige miljøer: I FedRAMP-miljøer: Dette trinnet rydder opp i tidligere bilder av HDS-oppsettverktøyet. Hvis det ikke finnes noen tidligere bilder, returnerer den en feil som du kan ignorere. |
| 2 |
For å logge på Docker-avbildningsregisteret, skriv inn følgende: |
| 3 |
Ved passordledeteksten skriver du inn denne hashen: |
| 4 |
Last ned det nyeste stabile bildet for miljøet ditt: I vanlige miljøer: I FedRAMP-miljøer: |
| 5 |
Når hentingen er fullført, skriver du inn riktig kommando for miljøet ditt:
Når containeren kjører, ser du «Express-server lytter på port 8080». Installasjonsverktøyet støtter ikke tilkobling til localhost via http://localhost:8080. Bruk http://127.0.0.1:8080 for å koble til localhost. |
Hva du skal gjøre nå
Deaktiver skyagenter
Følg trinnene nedenfor for å deaktivere skyagenter for HDS-distribusjonen din.
Dette vil føre til tap av funksjoner som opptak etter møter, transkripsjoner, forhåndsvisninger av filer og automatisert skanning etter skadelig programvare i Webex App Spaces.
| 1 |
Start HDS-oppsettverktøyet og følg trinnene som er nevnt i Opprett en konfigurasjons-ISO for HDS-vertene. ISO-filen må være en kopi av den originale ISO-filen til det primære datasenteret som følgende konfigurasjonsoppdateringer skal gjøres på. |
| 2 |
Etter at du har konfigurert Syslogd-serveren, klikker du på Avanserte innstillinger. |
| 3 |
På siden Avanserte innstillinger legger du til konfigurasjonen nedenfor for å deaktivere skyagenter. Dette vil sikre at skyagenter ikke får lov til å håndtere HDS-trafikk.
|
| 4 |
Fullfør konfigurasjonsprosessen og lagre ISO-filen på et sted som er lett å finne. |
| 5 |
Lag en sikkerhetskopi av ISO-filen på ditt lokale system. Oppbevar sikkerhetskopien sikkert. Denne filen inneholder en hovedkrypteringsnøkkel for databaseinnholdet. Begrens tilgangen til kun de administratorene for hybrid datasikkerhet som skal gjøre konfigurasjonsendringer. |
| 6 |
I VMware vSphere-klientens venstre navigasjonsrute høyreklikker du på den virtuelle maskinen og klikker på Rediger innstillinger.. |
| 7 |
Klikk på Rediger innstillinger >CD/DVD Stasjon 1 og velg Datastore ISO-fil. Sørg for at Tilkoblet og Koble til ved oppstart er avmerket, slik at oppdaterte konfigurasjonsendringer kan tre i kraft etter at nodene har startet. |
| 8 |
Slå på HDS-noden og sørg for at det ikke er noen alarmer på minst 15 minutter. |
| 9 |
Gjenta prosessen for hver node i HDS-distribusjonen din. Bekreft at Cloud Agents er deaktivert ved å sjekke sysloggene for følgende oppføring: «Cloud Agent-oppdatering deaktivert». |
Flytt den eksisterende HDS-distribusjonen med én leietaker fra en partnerorganisasjon i Control Hub til et HDS-oppsett med flere leietakere i Partner Hub
Konverteringen fra en eksisterende HDS-distribusjon med én leier i en partnerorganisasjon administrert i Control Hub til en HDS-distribusjon med flere leiere administrert i Partner Hub innebærer hovedsakelig å deaktivere HDS-tjenesten i Control Hub, avregistrere noder og slette klyngen. Deretter kan du logge inn på Partner Hub, registrere nodene, aktivere Multi-Tenant HDS og legge til kunder i klyngen din.
Begrepet «enkeltleietaker» refererer ganske enkelt til en eksisterende HDS-distribusjon i Control Hub.
Deaktiver HDS, avregistrer noder og slett alle klynger i Control Hub
| 1 |
Logg inn på Kontrollhub. Klikk på Hybridi venstre rute. Klikk på Rediger innstillingerpå Hybrid Data Security-kortet. |
| 2 |
På innstillingssiden blar du ned til Deaktiver-delen og klikker på Deaktiver. |
| 3 |
Etter deaktivering, klikk på fanen Ressurser. |
| 4 |
Siden Ressurser viser en liste over klynger i HDS-distribusjonen din. Klikk på en klynge, så åpnes en side med alle noder under den klyngen. |
| 5 |
Klikk på |
| 6 |
Hvis distribusjonen din har flere klynger, gjenta trinn 4 og trinn 5 til alle noder er avregistrert. |
| 7 |
Klikk på Klyngeinnstillinger > Fjern. |
| 8 |
Klikk på Bekreft fjerning for å avregistrere klyngen. |
| 9 |
Gjenta prosessen for alle klynger i HDS-distribusjonen din. Etter deaktivering av HDS, avregistrering av noder og fjerning av klynger, vil Hybrid Data Service-kortet på Control Hub ha Oppsettet ikke fullført vist nederst. |
Aktiver Multi-Tenant HDS for partnerorganisasjonen på Partner Hub og legg til kunder
Før du begynner
Alle forutsetningene nevnt i Krav til hybrid datasikkerhet for flere leietakere gjelder her. I tillegg må du sørge for at samme database og sertifikater brukes under overføringen til Multi-Tenant HDS.
| 1 |
Logg inn på Partner Hub. Klikk på Tjenester i venstre rute. Bruk den samme ISO-en fra den forrige HDS-distribusjonen din til å konfigurere nodene. Dette vil sikre at meldinger og innhold generert av brukerne i den forrige eksisterende HDS-distribusjonen fortsatt er tilgjengelig i det nye oppsettet for flere leietakere. |
| 2 |
I Hybrid-delen finner du Hybrid Data Security-kortet og klikker på Konfigurer. |
| 3 |
På siden som åpnes, klikk på Legg til en ressurs. |
| 4 |
I det første feltet på kortet Opprett en klynge skriver du inn et navn på klyngen du vil tilordne Hybrid Data Security-noden til. Vi anbefaler at du navngir en klynge basert på hvor nodene i klyngen befinner seg geografisk. Eksempler: «San Francisco» eller «New York» eller «Dallas» |
| 5 |
I det andre feltet skriver du inn den interne IP-adressen eller det fullstendig kvalifiserte domenenavnet (FQDN) til noden din og klikker på Legg til nederst på skjermen. Denne IP-adressen eller FQDN-en skal samsvare med IP-adressen eller vertsnavnet og domenet du brukte i Konfigurer den hybride virtuelle datamaskinen for datasikkerhet. Det vises en melding som angir at du kan registrere noden din i Webex.
|
| 6 |
Klikk på Gå til node. Etter noen få øyeblikk blir du omdirigert til nodetilkoblingstestene for Webex-tjenester. Hvis alle testene er vellykkede, vises siden Tillat tilgang til hybrid datasikkerhetsnode. Der bekrefter du at du vil gi Webex-organisasjonen din tillatelse til å få tilgang til noden din. |
| 7 |
Merk av i boksen Tillat tilgang til hybrid datasikkerhetsnode, og klikk deretter på Fortsett. Kontoen din er validert, og meldingen «Registrering fullført» indikerer at noden din nå er registrert i Webex Cloud. På siden Hybrid datasikkerhet vises den nye klyngen som inneholder noden du registrerte, under fanen Ressurser. Noden vil automatisk laste ned den nyeste programvaren fra skyen.
|
| 8 |
Gå til fanen Innstillinger og klikk på Aktiver på HDS-statuskortet. Meldingen om aktivert HDS vises nederst på skjermen.
|
| 9 |
Klikk på fanen Tildelte kunder. |
| 10 |
Klikk på Legg til kunder. |
| 11 |
Velg kunden du vil legge til fra rullegardinmenyen. |
| 12 |
Klikk på Legg til, kunden vil bli lagt til i klyngen. |
| 13 |
Gjenta trinn 11 til 13 for å legge til flere kunder i klyngen din. |
| 14 |
Klikk på Ferdig nederst på skjermen når du har lagt til kundene. |
Hva du skal gjøre nå
Bruk OpenSSL til å generere en PKCS12-fil
Før du begynner
-
OpenSSL er et verktøy som kan brukes til å lage PKCS12-filen i riktig format for lasting i HDS Setup Tool. Det finnes andre måter å gjøre dette på, og vi støtter eller fremmer ikke én måte fremfor en annen.
-
Hvis du velger å bruke OpenSSL, tilbyr vi denne prosedyren som en veiledning for å hjelpe deg med å opprette en fil som oppfyller X.509-sertifikatkravene i X.509-sertifikatkrav. Forstå disse kravene før du fortsetter.
-
Installer OpenSSL i et støttet miljø. Se https://www.openssl.org for programvare og dokumentasjon.
-
Opprett en privat nøkkel.
-
Start denne prosedyren når du mottar serversertifikatet fra sertifiseringsinstansen din (CA).
| 1 |
Når du mottar serversertifikatet fra CA-en din, lagrer du det som |
| 2 |
Vis sertifikatet som tekst, og bekreft detaljene.
|
| 3 |
Bruk en teksteditor til å opprette en sertifikatpakkefil kalt
|
| 4 |
Opprett .p12-filen med det egendefinerte navnet
|
| 5 |
Sjekk detaljene for serversertifikatet. |
Hva du skal gjøre nå
Gå tilbake til Fullfør forutsetningene for hybrid datasikkerhet. Du bruker hdsnode.p12 -filen og passordet du har angitt for den i Opprett en konfigurasjons-ISO for HDS-vertene.
Du kan bruke disse filene på nytt for å be om et nytt sertifikat når det opprinnelige sertifikatet utløper.
Trafikk mellom HDS-nodene og skyen
Utgående målinger Innsamling av trafikk
Hybrid datasikkerhetsnodene sender visse målinger til Webex-skyen. Disse inkluderer systemmålinger for heap maks, heap brukt, CPU-belastning og trådantall; målinger på synkrone og asynkrone tråder; målinger på varsler som involverer en terskel for krypteringstilkoblinger, latens eller en forespørselskølengde; målinger på datalageret; og målinger for krypteringstilkoblinger. Nodene sender kryptert nøkkelmateriale over en out-of-band (separat fra forespørselen) kanal.
Innkommende trafikk
Hybride datasikkerhetsnoder mottar følgende typer innkommende trafikk fra Webex-skyen:
-
Krypteringsforespørsler fra klienter, som rutes av krypteringstjenesten
-
Oppgraderinger til nodeprogramvaren
Konfigurer Squid-proxyer for hybrid datasikkerhet
Websocket kan ikke koble til via Squid-proxyen
Squid-proxyer som inspiserer HTTPS-trafikk kan forstyrre etableringen av websocket (wss:)-tilkoblinger som Hybrid Data Security krever. Disse avsnittene gir veiledning om hvordan du konfigurerer ulike versjoner av Squid til å ignorere wss: -trafikk for at tjenestene skal fungere som de skal.
Blekksprut 4 og 5
Legg til on_unsupported_protocol -direktivet i squid.conf:
on_unsupported_protocol tunnel allBlekksprut 3.5.27
Vi testet hybrid datasikkerhet med følgende regler lagt til i squid.conf. Disse reglene kan endres etter hvert som vi utvikler funksjoner og oppdaterer Webex-skyen.
acl wssMercuryConnection ssl::server_name_regex mercury-connection
ssl_bump splice wssMercuryConnection
acl step1 at_step SslBump1
acl step2 at_step SslBump2
acl step3 at_step SslBump3
ssl_bump peek step1 all
ssl_bump stare step2 all
ssl_bump bump step3 all
